---2019.02.22亲测---
以前用的是与腾讯云合作的Symantec免费SSL证书，促使我战胜懒癌更换证书的原因有两个，其一是使用一个二级域名就得申请一个证书，很不方便；其二是谷歌浏览器今年10月后将不再信任Symantec的任何证书。而有了泛域名证书，一个域名下所有二级域名都可以使用一个证书，以本站域名为例，oleou.com,www.oleou.com,acg.oleou.com等都只要一个SSL证书就搞定。
第一步、注册域名邮箱(域名邮箱若不注册成功，后边步骤可以不用看了)首先注册域名邮箱，因为申请证书的时候需要验证域名所有权，建议使用腾讯企业邮（免费、生效快、发邮件不易被收进垃圾箱），就是步骤稍微麻烦，要填手机号和扫微信；
这里省略
腾讯域名邮箱已经被屏蔽，推荐使用钉钉企业邮箱，下载钉钉自行注册
第二步、生成CSR文件
前往https://csr.chinassl.net/generator-csr.html，填上相关信息，注意域名必须为*.oleou.com的形式，点击生成，会生成CSR文件和KEY文件，最后点击下载到本地保存，另外复制一下CSR文件，下一步需要用到；
第三步、需要验证域名所有权，获取证书
前往
https://assl.space/(已阵亡)，我们还是选择一直坚挺的ni-co大佬的，前往https://ssl.ni-co.moe/ssl/create/free.html，选择获取每日免费SSL，按提示填写，主要需要注意的就是填写接收邮箱和手机发送短信，还有需要
梯子；
执行后会需要选择验证域名邮箱，选择admin@域名，很快会收到验证邮箱，然后打开验证邮件，访问验证链接,信息确认无误，点击I APPROVE,不久后就会收到邮件；(注意耐心等待)
收到no_reply名称的邮件，打开可看到收到了crt证书，把---BEGIN---到---END---的字符串，全复制上；
第四步、为确保所有浏览器不拦截，需要生成中间证书和根证书
前往https://www.myssl.cn/tools/downloadchain.html——粘贴——下一步，点击下载中间证书和根证书（root）;
第五步、合并证书并保存
新建一个txt文件，按no_reply的证书内容、中间证书内容、根（root）证书内容依次粘贴进去，最后保存为.crt文件，第一步的key文件也保存为.key文件；
第六步、部署上新证书
以宝塔为例，无需上传，直接复制有名有姓中的key的进秘钥框，合并的证书复制到证书框，其他面板或者无面板则上传到FTP目录，网站的配置文件改下证书路径引用即可。很多cdn中PEM格式和CRT是一样的。
配置示例
ssl_certificate /etc/letsencrypt/live/oleou.com/fullchain.pem; #crt文件路径
ssl_certificate_key /etc/letsencrypt/live/oleou.com/privkey.pem; #key文件路径
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers "ECDHE-RSA-AES128-GCM-SHA256:ECDHE:ECDH:AES:HIGH:!NULL:!aNULL:!MD5:!ADH:!RC4:!DH:!DHE";
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m; add_header Strict-Transport-Security max-age=63072000;
可前往https://myssl.com/测试安全等级，A+为最佳。
