极简部署！开源HTML5单文件ACME客户端：一键获取免费泛域名HTTPS证书

一、背景与需求：HTTPS普及下的证书管理痛点

随着互联网安全标准的升级，HTTPS已成为网站标配。然而，传统证书申请流程存在三大痛点：

1. 命令行操作门槛高：ACME协议（如Certbot）依赖Linux命令行，非技术用户难以操作；
2. 多平台适配困难：Windows/macOS用户需额外配置环境，跨设备管理不便；
3. 通配符证书成本高：商业CA的泛域名证书年费可达数百美元，中小企业负担较重。

在此背景下，一款纯HTML5单文件的ACME客户端应运而生，它通过浏览器直接调用ACME API，无需后端服务，彻底解决了部署与环境依赖问题。

二、技术解析：HTML5单文件如何实现ACME协议？

1. 核心架构设计

该客户端采用三层分离架构：

• 前端层：基于HTML5/CSS3/JavaScript构建交互界面，兼容所有现代浏览器；
• 协议层：通过Web Crypto API实现RSA/EC密钥生成，使用Fetch API与ACME服务器通信；
• 存储层：利用IndexedDB持久化存储证书、私钥及账户信息，支持离线操作。

// 示例：生成EC密钥对（P-256曲线）
async function generateECKey() {
  return await window.crypto.subtle.generateKey(
    { name: "ECDSA", namedCurve: "P-256" },
    true, ["sign", "verify"]
  );
}

2. 关键技术突破

• 无服务器通信：通过浏览器直接访问Let’s Encrypt（v2 API）和ZeroSSL的ACME端点，绕过传统客户端对本地服务的依赖；
• 动态DNS验证：集成TXT记录自动更新功能，支持阿里云DNS、Cloudflare等主流服务商API；
• 多算法支持：同时兼容RSA（2048/4096位）和EC（P-256/P-384）证书，满足不同安全需求。

三、功能亮点：从申请到部署的全流程覆盖

1. 一键申请多域名通配符证书

用户仅需输入主域名（如*.example.com），系统自动完成以下步骤：

1. 生成账户密钥并注册ACME账户；
2. 通过DNS-01验证域名所有权；
3. 申请包含主域名及所有子域名的通配符证书；
4. 支持同时申请Let’s Encrypt和ZeroSSL证书，实现CA冗余。

2. 证书生命周期管理

• 自动续期：内置定时任务，在证书过期前30天触发续期流程；
• 吊销与重发：提供可视化界面吊销证书或重新签发；
• 格式转换：一键导出PEM/PFX/JKS等格式，适配Nginx/Apache/IIS等服务器。

3. 安全增强机制

• 私钥保护：采用Web Crypto API的硬件加速加密，私钥永不离开浏览器；
• 审计日志：记录所有操作时间、IP及结果，支持导出CSV分析；
• 双因素认证：可选集成TOTP（如Google Authenticator）保护账户。

四、部署与使用指南

1. 零配置部署

• 方式一：直接访问托管版本（如GitHub Pages）；
• 方式二：下载单文件（acme-client.html）至本地，通过file://协议打开；
• 方式三：部署至内部网络，作为企业内网HTTPS证书管理工具。

2. 操作流程示例

步骤1：打开客户端，点击“新建证书”；
步骤2：输入域名（如*.demo.com），选择CA（Let’s Encrypt/ZeroSSL）和算法（EC-P256）；
步骤3：配置DNS API密钥（以阿里云为例）：

// 伪代码：调用阿里云DNS API更新TXT记录
async function updateDNS(domain, token) {
  const apiKey = "YOUR_ALIYUN_KEY";
  const response = await fetch(`https://dnsapi.aliyun.com/update?Action=UpdateDomainRecord&RecordId=123&RR=_acme-challenge&Type=TXT&Value=${token}`, {
    headers: { "Authorization": `API-KEY ${apiKey}` }
  });
  return response.ok;
}

步骤4：点击“验证并签发”，等待30秒完成证书生成；
步骤5：下载证书包，解压后包含：

• fullchain.pem（证书链）
• privkey.pem（私钥）
• chain.pem（中间证书）

五、适用场景与优势对比

场景	传统方案	本方案优势
个人博客	Certbot+Linux服务器	无需服务器，Windows/macOS通用
中小企业内网系统	购买商业证书	免费通配符证书，年省数千元
开发测试环境	自签名证书	自动续期，避免浏览器警告
多CA冗余部署	需维护多个客户端	单界面管理Let’s Encrypt/ZeroSSL

六、开发者贡献指南

该项目采用MIT协议开源，欢迎提交以下贡献：

1. 新增DNS提供商：扩展dns-providers.js模块，支持更多服务商API；
2. 算法优化：改进密钥生成速度，支持Ed25519等新算法；
3. UI本地化：添加多语言支持（当前已包含中英文）。

开发环境搭建：

# 克隆仓库
git clone https://github.com/your-repo/acme-html5-client.git
# 启动本地开发服务器（避免CORS问题）
npx serve .

七、未来规划

1. IoT设备支持：通过WebUSB接口直接写入硬件安全模块（HSM）；
2. ACMEv3协议：支持IP地址证书和更复杂的验证方式；
3. 企业版：添加RBAC权限控制和审计追踪功能。

这款HTML5单文件ACME客户端以极简的设计实现了复杂的安全需求，无论是个人开发者快速部署HTTPS，还是企业用户管理大规模证书，都能显著提升效率与安全性。其开源特性更确保了长期的可维护性与透明度，值得每一位网络管理员纳入工具箱。