服务器自动重签

装一次脚本，服务器每天自动检查并在证书到期前 30 天内免费重签、替换并重载，全程无人工。

它能做什么

泡米证书是订阅制：订阅期内可以无限次免费重签，单张证书快到期时要换新的一张。在服务器上装一次 paomi-ssl 脚本后，每天自动检查全部已安装的证书：进入到期前 30 天窗口就自动发起重签、完成域名验证、下载新证书并替换文件、重载 Web 服务，不需要人工参与。

私钥留在服务器，不上传；重签是免费的，不会自动扣款；订阅结束后脚本只记日志，续订仍需到控制台证书详情操作。脚本说明也可在证书详情的「服务器自动重签」卡片里看到，命令里的证书 ID 已预填。

适用条件

Linux 服务器，装有 curl、openssl、GNU grep 与 flock（常见发行版自带）。脚本从本站下载：

curl -fsSL https://www.paomi.com/paomi-ssl.sh -o paomi-ssl \
  && sudo install -m 755 paomi-ssl /usr/local/bin/paomi-ssl

创建续签令牌

到控制台开发者设置创建 API 令牌并勾选「证书续签」。明文只显示一次，保存到服务器并收紧权限：

printf '把令牌粘在这里' | sudo tee /etc/paomi/token >/dev/null \
  && sudo chmod 600 /etc/paomi/token

安装一张证书

证书 ID 在证书详情的「服务器自动重签」卡片里已预填。install 会先核对令牌与证书、按证书类型预选验证方式（通配符用 cname，其余用 file），并自动安装每日定时任务（写入 /etc/cron.d/paomi-ssl，时刻在凌晨 0–5 点随机错峰，加 --no-cron 可跳过）。

单域名与多域名证书（HTTP 文件验证）：

sudo /usr/local/bin/paomi-ssl install --cert-id 证书ID \
  --webroot /var/www/example --fullchain /etc/nginx/example.com.crt \
  --key /etc/nginx/example.com.key --server nginx

参数含义

--fullchain 填现在 nginx ssl_certificate 指向的文件：续签会原地替换这个文件并自动备份，重载失败自动还原旧证书。--key 填与证书配对的私钥。--webroot 填网站根目录，验证文件会写到它的 /.well-known/pki-validation/ 下，这段路径必须能从 80 端口直接访问、不能被整站跳 HTTPS 截走。--server 可选 nginx、apache、caddy，决定默认重载命令，也可用 --reloadcmd 自定义。

多域名证书各域名的网站目录不同时，用多组 --name 域名目录 分别指定。

通配符证书与想换 DNS 验证的证书改用 CNAME 委托验证：加 --method cname、去掉 --webroot。它依赖 DNS 里一条一次性的 CNAME 委托记录，install 会打印当前记录，规则见域名验证与 CNAME 委托。

续签过程

定时任务每天在安装时随机确定的凌晨时刻（0–5 点）运行一次，处理配置目录里的全部证书，只有进入到期前 30 天窗口才发起重签。新证书与本机私钥公钥配对无误才会替换；重载失败自动还原旧证书。同一次续签的重试不会重复开单。

cname 模式续签前会先核对 CNAME 委托在位；不在位时打印应添加的记录并等第二天自动重试，按打印的内容加好即可。

常见问题

验证文件不能从 HTTP 打开：检查 80 端口与跳转顺序，把 /.well-known/pki-validation/ 的放行放在跳 HTTPS 之前（install 结束会打印各服务器的配置片段）。
CNAME 被误删：按证书详情「DNS 验证委托」卡片里的原记录重新添加即可恢复，记录值不变；加好后点卡片上的「检测 DNS」确认在位。
提示令牌文件权限不对：令牌文件权限必须是 600。
窗口判断不准：保持服务器时钟 NTP 同步。
启用了 DNSSEC 的域名：2026 年 3 月起证书厂商会强制核验 DNSSEC，配置有误会导致验证失败。
脚本更新：重新下载覆盖 /usr/local/bin/paomi-ssl 即可，已写入的配置与定时任务不受影响。

没有解决？页面右下角「客服」可与 AI 客服对话，登录后可转人工；也可联系我们。