🛠️ インストール

Apache 環境の場合は python3-certbot-apache を選択してください。

🔐 EAB（External Account Binding）認証情報の取得

FujiSSL.jp で ACME ライセンスを契約すると、メールで EAB 認証情報が届きます：

• Key ID（例: YourKeyID123abc）
• HMAC Key（例: YourLongHmacKeyString...）

📋 基本的な使い方

1. ACME アカウントの登録

   $ sudo certbot register \
     --server https://acme.fujissl.jp/acme/directory \
     --eab-kid YourKeyID123abc \
     --eab-hmac-key YourLongHmacKeyString... \
     --email you@example.com \
     --agree-tos \
     --no-eff-email

2. Nginx 自動設定モード（最も簡単）

   $ sudo certbot --nginx \
     --server https://acme.fujissl.jp/acme/directory \
     -d example.com -d www.example.com

   Nginx の設定ファイルが自動的に更新され、HTTPS リダイレクトの設定も提案されます。

3. Apache 自動設定モード

   $ sudo certbot --apache \
     --server https://acme.fujissl.jp/acme/directory \
     -d example.com -d www.example.com

4. webroot モード（既存 Webサーバ稼働中）

   サーバの設定ファイルを変更したくない場合：

   $ sudo certbot certonly --webroot -w /var/www/html \
     --server https://acme.fujissl.jp/acme/directory \
     -d example.com -d www.example.com

   取得した証明書を手動で Nginx / Apache の設定に組み込みます。

5. standalone モード（Webサーバ停止可能）

   ポート 80 / 443 が空いている、または Webサーバを一時停止できる場合：

   $ sudo certbot certonly --standalone \
     --server https://acme.fujissl.jp/acme/directory \
     -d example.com

6. ワイルドカード証明書（DNS認証必須）

   # 手動 DNS 認証
   $ sudo certbot certonly --manual \
     --preferred-challenges dns \
     --server https://acme.fujissl.jp/acme/directory \
     -d "*.example.com" -d example.com

   表示される TXT レコードを DNS に追加し、Enter で検証続行。

🤖 DNS プロバイダ自動認証（ワイルドカード自動化）

主要 DNS プロバイダ向けのプラグインで、ワイルドカード証明書も完全自動化できます。

# Cloudflare API トークンを設定ファイルに記載
$ sudo nano /root/.secrets/cloudflare.ini
dns_cloudflare_api_token = YourCloudflareAPIToken

$ sudo chmod 600 /root/.secrets/cloudflare.ini

# ワイルドカード証明書取得
$ sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials /root/.secrets/cloudflare.ini \
  --server https://acme.fujissl.jp/acme/directory \
  -d "*.example.com" -d example.com

🔄 自動更新

certbot は有効期限の30日前から自動更新します。systemd タイマーまたは cron で1日2回チェックされます。

# 自動更新のテスト（実際には更新しない）
$ sudo certbot renew --dry-run

# 自動更新の確認（systemd の場合）
$ sudo systemctl list-timers | grep certbot
NEXT                        LEFT       LAST                        PASSED       UNIT
Tue 2026-05-13 06:24:09 JST 11h left   Tue 2026-05-12 06:24:09 JST 12h ago      certbot.timer

$ sudo certbot renew --deploy-hook "systemctl reload nginx"

📜 主要コマンド一覧

❓ よくあるご質問