一、免费10年期SSL证书的可行方案
目前主流CA机构不提供官方10年期免费SSL证书，但通过技术组合方案可实现等同效果。推荐采用以下两种方式：1）使用JoySSL等提供免费证书的服务商，配合自动化续期工具实现长期有效；2）利用mkcert工具创建自签名证书，适用于内网或测试环境。
二、准备工作与必要条件
在申请前需确保：
- 已完成域名备案与解析配置
- 服务器开放80/443端口
- 准备CSR文件生成工具（如OpenSSL）
建议优先选择支持通配符证书的服务商，例如JoySSL支持*.yourdomain.com格式的泛域名证书。
三、JoySSL免费证书申请步骤
- 访问官网注册账户（注册码：230918）
- 选择”免费证书”并填写域名信息
- 通过DNS解析验证域名所有权
- 下载包含PEM/CRT文件的证书包
该平台支持同时申请多域名/IP地址证书，例如可包含*.nas.com与192.168.1.100等混合内容。
四、自动化续期实现长期有效期
通过crontab等定时任务工具，设置每90天自动执行续期脚本。JoySSL提供API接口支持无人值守续签，需在服务器配置：
- 证书自动更新脚本
- Nginx/Apache自动重载配置
- 续期失败告警机制
此方案可突破单张证书有效期限制，实现永久有效。
五、自签名证书替代方案
对于内网系统，可使用mkcert工具创建10年期证书：
- 安装mkcert并生成根证书
- 执行命令：mkcert 192.168.1.* *.intranet.com
- 导出根证书分发给终端设备
注意需将生成的rootCA.pem文件重命名为.crt格式，并在所有访问设备安装信任根证书。
通过免费证书自动续期+脚本化部署的组合方案，可突破证书有效期限制实现长期HTTPS加密。建议生产环境选择JoySSL等正规CA机构，测试环境使用mkcert自签名方案。定期检查证书状态与加密协议版本，确保符合最新安全标准。
