令 acme.sh 使用 Cloudflare 的 DNS API 签发与续签证书

Wed Feb 25 2026

使用 acme.sh 通过 DNS 挑战的方式申请泛域名证书，且通过这种方式，我们可以很方面的申请 SSL 证书用于我们的内部服务，不会遇到因为使用自签名证书导致的各种麻烦。

acme.sh 支持非常多的 DNS 提供商的 DNS API，通过 DNS API 可以免去手动填写 _acme-challenge 的麻烦。

以 Cloudflare 为例

首先我们查看一下 acne.sh 需要 Cloudflare 什么信息：dns_cf.sh

1
#!/usr/bin/env sh
2
# shellcheck disable=SC2034
3
dns_cf_info='CloudFlare
4
Site: CloudFlare.com
5
Docs: github.com/acmesh-official/acme.sh/wiki/dnsapi#dns_cf
6
Options:
7
 CF_Key API Key
8
 CF_Email Your account email
9
OptionsAlt:
10
 CF_Token API Token
11
 CF_Account_ID Account ID
12
 CF_Zone_ID Zone ID. Optional.
13
'

也可以看 acme.sh 的 wiki 是怎么写的，不过我觉得代码比 wiki 更诚实一点：

As of June 2025, the Cloudflare Domain API can be accessed using three kinds of API keys:

User token; Account-owned token; or User Global API Key (Not recommended).

我们采用第一个方法，User token.

去 Cloudflare 的控制面板拿到如下的凭证，然后再补充一下 CF_Email

1
CF_Token="Y7VRjJ_**"
2
CF_Zone_ID="5f011**"
3
CF_Account_ID="29b0**"
4
CF_Email="***"

不管是签发还是续签，添加 --dns_cf 参数即可

1
# 续签
2
/usr/share/acme.sh/acme.sh --cron --dns_cf --home /certs
3

4
# 签发
5
/usr/share/acme.sh/acme.sh --issue -d krystzal.dev --dns_cf --home /certs

使用 `systemd-timer` 来实现定时刷新

我们可以使用 systemd-timer 来替代 crontab 实现定时续签，这里以每天续签为例

1
# acme.sh.service
2
[Unit]
3
Description=Renew certificates acquired via acme.sh
4
After=network.target network-online.target nss-lookup.target
5
Wants=network-online.target nss-lookup.target
6
Documentation=https://github.com/acmesh-official/acme.sh/wiki
7

8
[Service]
9
User=cert
10
Group=cert
11
Type=simple
12
ExecStart=/bin/acme.sh --cron --dns dns_cf --home /certs --dnssleep 600
13
SuccessExitStatus=0 2
14
Restart=on-failure
15
EnvironmentFile=/etc/systemd/system/acme.sh.env

1
# acme.sh.timer
2
[Unit]
3
Description=Run acme.sh daily
4

5
[Timer]
6
OnCalendar=*-*-* 00:00:00
7
Persistent=true
8

9
[Install]
10
WantedBy=timers.target

1
# acmd.sh.env
2
CF_Token="Y7VRjJ_**"
3
CF_Zone_ID="5f011**"
4
CF_Account_ID="29b0**"

然后执行一下刷新 systemd-daemon，接着启用一下 acme.sh.timer

1
systemctl daemon-reload
2
systemctl enable acme.sh.timer

支持的 DNS API 列表

NOTE

这个列表更新于 2026-02-25，而 acme.sh 会随着时间更新，因此请查看其仓库获得最新的列表

在每个 DNS API 具体操作的 .sh 的文件开头有写需要什么 API密钥，前往 DNS 服务商面板获取后写作具体的环境变量即可

令 acme.sh 使用 Cloudflare 的 DNS API 签发与续签证书

以 Cloudflare 为例

使用 systemd-timer 来实现定时刷新

支持的 DNS API 列表

使用 `systemd-timer` 来实现定时刷新