证枢是一套证书控制台：向 ACME 证书机构申请免费证书，按域名替换 Nginx 证书目录里的旧文件，然后重启或重载 Nginx。Vue 3 管理台和 Go 服务打在同一个可执行文件里，浏览器打开即可使用。

它解决的是日常运维里反复出现的几件事：证书快到期没人看、申请和部署拆在不同工具里、通配符证书要手工改 DNS、私钥散落在多台机器上。

登录后左侧菜单按当前账号的权限显示。租户由账号归属决定，登录时不用填写租户编号。

右上角可以修改密码。首次使用默认管理员时，系统会提示先改掉初始密码。

创建证书时指定名称、域名、验证方式、ACME 账户、密钥类型，以及到期前多少天可以续期（1 到 60 天，默认 30 天）。勾选「允许调度自动续期」后，定时任务才会在窗口内重新申请。创建前需要同意 ACME 服务条款。

密钥可选 EC P-256 或 RSA 2048。

证书状态：

一次执行分成三段：

1. 提取：按当前登录租户读取证书、ACME 账户和 Nginx 目标。还没进入续期窗口时停止，避免无意义地重复申请。
2. 申请：按所选验证方式向证书机构申请。
3. 部署：仅在需要部署时执行。按主域名覆盖证书目录里的 域名.pem 和 域名.key。例如 *.nbsaas.com 写成 nbsaas.com.pem 与 nbsaas.com.key。接着执行 nginx -t，通过后再重启或重载。检测失败会恢复旧文件。平台不修改 Nginx 配置文件，配置里需要事先写好这两个文件的路径。

可以只申请、不部署。DNS-01 创建证书时不选 Nginx 即可。HTTP-01 仍要借用 Nginx 的网站根目录完成验证，但可以只申请、不立刻重启。库里还没有证书材料时，「部署」会沿用磁盘上已有的证书文件，只做重启。

HTTP-01 把挑战文件写到 Nginx 的网站根目录，例如 /var/www/acme/.well-known/acme-challenge/。签发前，域名必须能通过 80 端口访问到这个目录。适合已经解析到本机、且可以开放 80 端口的站点。

DNS-01 调用 ACME 账户绑定的云厂商 DNS，写入 _acme-challenge TXT 记录，等待解析生效后再完成验证。通配符证书只能走这条路径。耗时通常长于 HTTP-01。

创建 ACME 数据源时填写联系邮箱，并选择证书机构。平台会生成账户私钥。可以创建后立即注册，也可以稍后在列表里点「注册」。密钥不会出现在接口响应里；更新时把密钥留空，表示保留原值。

内置机构：

生产环境目录是 https://acme-v02.api.letsencrypt.org/directory。

DNS-01 可绑定的云厂商：

• 阿里云 DNS
• 腾讯云 DNS、DNSPod Token
• 华为云 DNS
• 百度智能云 DNS
• 火山引擎 DNS
• Amazon Route 53
• Azure DNS（公共云、中国区、美国政府云）
• Google Cloud DNS
• Cloudflare
• DigitalOcean

不绑定云厂商时，该账户只能做 HTTP-01。

已签发的证书可以下载三种压缩包，尚未签发时不能下载。列表里能看到到期时间和剩余天数。私钥不会出现在列表和详情里，只能通过下载取出。

Nginx 数据源记录这些信息：

• nginx 程序路径，例如 /usr/sbin/nginx
• 服务管理方式：向进程发信号，或通过 systemd
• 动作：重启或重载。默认是重启
• systemd 服务名
• HTTP-01 网站根目录
• 证书目录，例如 /usr/local/nginx/conf/certs
• 是否在重启前执行 nginx -t
• 是否演练：只写文件，不重启

信号模式执行 nginx -s quit 后再启动；systemd 模式执行 systemctl restart nginx。可执行程序只允许 nginx、systemctl、service，参数按数组传递，不经过 shell。

调度绑定一条签发流水线，使用五段 Cron，例如每天凌晨 3 点 15 分：15 3 * * *。可以随时启用或停用，页面上能看到下次执行时间和上次结果。

续期时，没有绑定 Nginx 的证书只会重新申请。已绑定 Nginx 的证书在窗口内会申请并部署。证书上的「允许调度自动续期」关闭后，定时任务不会改这张证书。

数据按租户隔离。请求里不能自行指定租户，租户只从登录令牌解析。

首次启动会创建默认租户和三个内置角色：

管理员角色的权限固定为全部，不能在页面上裁剪。其他角色可以按资源动作勾选，例如「单独申请证书」「下载证书」「部署证书并重启 Nginx」。

默认管理员用户名是 admin。密码来自环境变量 SSL_ADMIN_PASSWORD，未设置时是 Admin@123456。这个账号只在空库时创建，登录后应立即修改密码。

三种常见方式，控制台默认都在 http://127.0.0.1:8080。

单个程序。 前端构建后打进二进制。启动后由程序自己托管页面，浏览器直接访问，不需要单独的前端服务。

Docker Compose。 同一容器里运行 Nginx 和控制台。80 端口提供 HTTP-01 目录，8080 是控制台。初始化后会写入容器内的 ACME 账户和 Nginx 数据源，证书目录是 /usr/local/nginx/conf/certs。

Linux systemd。 用安装脚本注册服务，程序放在 /usr/local/bin/sslplatform，配置在 /etc/sslplatform，数据在 /var/lib/sslplatform。首次安装会生成管理员密码并写到 /etc/sslplatform/initial-admin.txt。服务以 root 运行，以便写入 Nginx 证书目录并执行重启。再次安装只替换程序，已有配置、密钥和管理员密码保持不变。卸载默认保留配置和数据库。

也可以在 Windows 上一次打出 Linux、Windows、macOS 的可执行文件和压缩包，覆盖 amd64、arm64 以及 32 位 ARM。压缩包里带配置和启动脚本。

• 默认 ACME 目录是 Let's Encrypt 测试环境，证书不受浏览器信任。正式站点要改成生产目录。
• Nginx 配置需要事先指向证书目录里的 域名.pem 和 域名.key。平台只替换这两个文件。
• HTTP-01 依赖 80 端口和网站根目录；通配符必须使用已绑定云厂商 DNS 的账户。
• 私钥保存在本机 SQLite 中，数据库文件权限为 0600。下载和部署是取出私钥的途径，列表和详情不会返回私钥。
• 云厂商密钥建议使用最小权限，例如只授予对应 DNS 产品的管理权限。