使用ACME方式於ServBay申請SSL憑證

ServBay 支援使用 ACME 協議自動為您的本地開發網站申請 SSL/TLS 憑證。ACME (Automated Certificate Management Environment) 是一套標準協議，用於自動化憑證全生命週期管理（包括申請、續期及註銷）。透過 ServBay 所提供的 ACME 管理面板，您可以輕鬆為本地網站配置受信任的 SSL 憑證，對於模擬正式環境及測試 HTTPS 相關功能至關重要。

ServBay 預設優先使用 ZeroSSL 發行憑證，您亦可靈活選用 Let's Encrypt 或 Google Trust Services 等其他 ACME 相容的憑證簽發機構（CA）。

TIP

為確保本地開發環境與生產環境高度一致，使用受信任的 SSL 憑證極為重要。ServBay 的 ACME 功能能讓這個流程變得非常簡單。

核心概念說明

在開始之前，建議先了解以下幾個核心概念，將有助於更有效運用 ServBay 的 ACME 功能：

• ACME 協議： 一套開放標準，用於自動化憑證簽發機構（CA）與伺服器之間互動，實現憑證的自動申請、續期及管理。
• DNS-01 驗證（DNS API 方式）： ACME 支援多種網域所有權驗證方式。ServBay 主要採用 DNS-01，表示 CA 會要求您於域名的 DNS 紀錄新增特定 TXT 紀錄，藉由檢查該紀錄存於 DNS 是否正確，驗證您對域名的控制權。優點包括：
  • 您的本地開發環境不需外網可存取。
  • 即使本地 80/443 埠被防火牆或 ISP 阻擋，仍可驗證。
• 外部帳戶綁定（EAB - External Account Binding）： 某些 CA（如 Google Trust Services 或 ZeroSSL）在首次透過 ACME 申請憑證時，需要用 EAB 資訊讓 ACME 客戶端（即 ServBay 整合之 acme.sh）與您的 CA 帳戶綁定，這通常包含 Key ID 及 HMAC Key。
• ECC 與 RSA 憑證：
  • RSA： 傳統加密演算法，相容性極廣，但為達一定安全性需較長金鑰（如 2048 位元以上），運算負擔較大。
  • ECC（橢圓曲線密碼學）： 較現代的加密方式，只需更短金鑰（如 256 或 384 位元）即可達同級安全，效能更佳，連線建立即耗時更短、頻寬佔用與前向保密性更優。ServBay 預設建議使用 ECC 憑證。

前置條件

ServBay 採用 DNS API 方申請 ACME 憑證，無須您的本地網站可被網路存取。在開始前，請確認以下條件已備齊：

1. 擁有網域名稱： 您需有可控 DNS 紀錄之已註冊網域。
2. 取得網域 DNS 提供商之 API Key： 申請憑證時需要 DNS API 來自動新增／刪除 TXT 驗證紀錄。請取得托管 DNS 的平台（不一定和註冊商相同）API Key 或相關認證資訊。ServBay 支援的 DNS 供應商與取得 API KEY 教學詳見 acme.sh 官方 Wiki：How to use DNS API，請依您所用平台操作。
3. 取得 EAB 資訊（如首次使用 Google Trust Services 或 ZeroSSL）： 若選擇 Google Trust Services 發憑證，需於 Google Cloud 取得 EAB 資訊，參見 Google Cloud 官方（英文）：Obtaining EAB credentials from Google Cloud。ZeroSSL 有時首次申請亦需驗證信箱或 API Key。

在ServBay中以ACME方式申請SSL憑證

請依以下步驟於 ServBay 透過 ACME 為您的本地開發網站申請 SSL 憑證：

1. 打開 ServBay 管理面板
   啟動 ServBay，透過系統選單列圖示或 Dock 圖標進入管理面板。

2. 前往 SSL 憑證管理
   於面板左側導覽點擊 SSL 憑證。

3. 開始申請新憑證
   於 SSL 管理頁右上角點擊 +，選擇 申請新憑證。

4. 填寫憑證基本資訊

   • 憑證名稱： 輸入辨識用名稱，便於日後識別（例：servbay-demo-ssl）。
   • 用途： 選取 TLS/SSL。
   • 請求方式： 選取 ACME。

5. 選擇憑證簽發者（CA）
   下拉選單中選取期望使用的 CA，預設為 ZeroSSL，亦可依需選擇 Let's Encrypt 或 Google Trust Services。下例以 ZeroSSL 示範。

6. 選擇 DNS API 供應商
   下拉選單選取您的 DNS 服務提供商，例以 Cloudflare。注意需為實際托管 DNS 的平台，可能和購買域名的註冊商不同。

7. 選定憑證演算法及金鑰長度

   • 演算法： 預設建議選用 ECC，兼具高效與安全，兼容需求可改選 RSA。
   • 金鑰長度： ECC 預設 384 位元充足安全、RSA 常見 2048 或 4096。

8. 設定驗證資訊 依選定之 CA 及 DNS API 供應商，下方會出現需填的欄位：

   • ZeroSSL 可能要求填寫信箱地址。
   • 如 Cloudflare API，需填 API Key 或身份認證資訊。請依 acme.sh 官方指示填寫。

   WARNING

   注意：僅需貼上 API Key 或密鑰「值」，請勿包含 export 等 shell 指令前綴！

9. 設定網域名稱 於 網域 欄輸入要申請的域名（如：servbay.demo 或 *.servbay.demo）。如需泛域名（wildcard）憑證請確認 DNS 供應商支援自動新增泛域名 TXT。

10. 開始申請 確認資訊無誤後點擊 請求。ServBay 會呼叫內建 acme.sh，依您填寫 DNS API 資訊自動驗證並向 CA 申領憑證。

申請過程需時，快慢取決於 DNS 傳播速度及 CA 反應。進度可於 ServBay 日誌或憑證列表查閱。完成後新憑證會顯示於 SSL 憑證 列表。

中止正在進行的申請

ACME 申請過程中，請求 按鈕會暫時變成 停止申請。若申請長時間未完成（如 DNS 傳播緩慢，或認證資訊須修正），可點擊 停止申請 終止 acme.sh 進程，修正後再重新發起，無需等自動逾時。

進階選項：DNS 傳播等待與跳過 DNS 自檢

申請憑證時，acme.sh 預設於新增 TXT 驗證紀錄後，會先於本地檢查該紀錄是否可查，再通知 CA 驗證。有時受限於本地 DNS 被劫持、fake-ip 模式或本地/outbound 解析不同致本地檢查始終失敗，縱使實際網際網路解析已生效。

ServBay 憑證申請介面因應此狀況，提供下列選項：

• 等待秒數： 設置 DNS 傳播等待時間（預設 120 秒），ServBay 在通知 CA 驗證前先等待，給 TXT 紀錄足夠傳播時程。
• 跳過 DNS 自檢： 啟用後，acme.sh 直接於等待預設秒數後交由 CA 驗證，不會再於本地查驗。適用於本地 DNS 被 fake-ip 等干擾時。

TIP

若本地網路及 DNS 解析皆常態，建議維持預設，不需調整進階選項。僅當遇到「TXT 紀錄全球已生效但本地自檢始終失敗」才考慮啟用「跳過 DNS 自檢」並增大等待秒數。

於ServBay網站設定中套用憑證

成功取得 ACME 憑證後，可於網站設定中套用：

1. 導覽至 ServBay 管理面板左方 網站。
2. 選取要配置 SSL 的網站，按右方編輯（鉛筆圖示）。
3. 於網站詳細設定頁找SSL 憑證。
4. 下拉選單選取剛申請的 ACME 憑證名稱。
5. 確認已打開 啟用 SSL 開關。
6. 儲存。您的網站即應可透過 HTTPS 安全連線。

ACME憑證之自動續期

ACME 頒發之憑證（如 Let's Encrypt 或 ZeroSSL）多為90天效期。為保障網站可持續安全連線，須於到期前定期續期。

ServBay 會自動監控以 ACME 申請之憑證效期，臨近到期時，會自動利用先前所填 DNS API 認證，於背景向 CA 續期。

正常情況只要 API 憑證持續有效且 DNS 服務穩定，無需人工介入續期流程，ServBay 會於後台自動處理。

常見問題 (FAQ) 及故障排除

• 申請失敗，提示 DNS 驗證失敗？
  • 請詳細確認 DNS API 認證資訊正確且具TXT新增權限。
  • 檢查 ServBay 裡選取的 DNS API 供應商和實際 DNS 服務匹配。
  • 新增的 TXT 需時傳播，比較耐心等待片刻再重試。
  • 確認域名拼寫正確。
  • 若 TXT 已生效而本地仍驗證失敗（常見於 DNS 被 fake-ip 方式攔截），可於介面開啟 跳過 DNS 自檢 並適度增大 等待秒數。
• 申請失敗，錯誤訊息與 EAB 相關？
  • 使用 Google Trust Services 或 ZeroSSL 且為首次申請者，請確認已取得並正確填寫 EAB。
  • 若曾可成功申請，現遇失敗，可能 EAB 已過期或失效，請重新申請。
• 申請達到速率限制（Rate Limit）？
  • 憑證機構會給單一網域／IP 限制短時間可申請的憑證次數。若短時內多次重申，可能會被限制，請靜待幾小時~數天後再試。
• 憑證申請成功，瀏覽器還是不安全？
  • 確認已在網站設定中正確掛載新憑證，並啟動 SSL。
  • 清除瀏覽器快取或用無痕模式測試。
  • 檢查本機 hosts 或網路設置正確指向 ServBay。
• ServBay 什麼時候會自動續期？ ServBay 通常於憑證到期前，如30天內，即會開始自動續期，只要 ServBay 程式運作且網路順暢，續期會於後台靜默執行。

總結

ServBay 提供了強大且易用的 ACME 功能，讓開發者得以使用 DNS API 方式，輕鬆申辦與管理本地網站受信任的 SSL/TLS 憑證。這不僅簡化了憑證配置流程，更能幫助開發者建立與正式環境一致、完整支援 HTTPS 的本地開發場景，有效提升開發及測試效率。

希望本文能協助您順利於 ServBay 透過 ACME 配置 SSL 憑證，進一步強化本地開發體驗。