QingSSL：向导式申请与部署 IIS 的 SSL 证书管理工具

适用场景：Windows Server + IIS 网站，使用SSL证书，苦于手动申请/导入/绑定/续签的运维人员。

重要提示（先看这里）：QingSSL 免费版仅提供证书申请与部署能力，不支持自动续期；「临期自动重签并重新部署」的自动化续期任务属于专业版功能（60 元/台，永久授权）。若坚持零成本自动化，可参考免费替代方案（win-acme），但是没有图形化。

一、证书续签为什么是老大难（而且会越来越难）

先说清一个趋势：证书有效期缩短是全行业的事，和免不免费无关。CA/浏览器（CA/Browser）论坛已通过投票，将 TLS 证书最大有效期分阶段大幅缩短——2026 年 3 月起 200 天，2027 年起 100 天，2029 年起压缩到 47 天。Let’s Encrypt 也已宣布 2027 年起跟进 64 天周期。也就是说，付费买的商业证书同样逃不过「越换越勤」，续签/替换将来是所有 HTTPS 站点的常态动作。

目前最常用的 Let’s Encrypt 免费证书有效期只有 90 天（而且是免费的，用来跑自动化毫无成本压力），已经是最需要自动化的那一批。证书一旦过期，浏览器告警、用户掉信任、接口调用失败，业务直接受影响。

更麻烦的是 IIS 上这套手动流程异常繁琐：

1. 生成密钥和 CSR；
2. 调用 ACME 协议完成域名所有权验证；
3. 把签发的证书做成 PFX；
4. 导入「本地计算机/个人」证书存储；
5. 再用 PowerShell 或 IIS 管理器把证书按指纹绑回站点的 https 绑定。

现在每 90 天重复一遍，等 2027 年缩短到 100 天以内、2029 年缩到 47 天后，手动流程将彻底不可持续。步骤多、易出错、忘了就出事故。Linux 世界有 certbot、宝塔、1Panel 一键续签，Windows/IIS 侧长期缺一个足够省心的工具——QingSSL 就是为此而生。

二、QingSSL 是什么

QingSSL是一款纯 Rust 实现的 Windows 桌面程序，专为 IIS 网站设计：证书申请与部署封装成图形化向导（免费版），自动续期则通过后台计划任务实现（专业版）。

核心特点：

• 单文件、零依赖：整个程序就是 qingssl.exe 一个文件（GUI 基于 eframe/egui，ACME 客户端基于 instant-acme），拷到服务器即可运行；
• 向导式操作：选站点 → 选域名 → 选验证方式 → 填邮箱 → 确认，签发与部署全自动；
• 自动枚举 IIS 站点：一键读取本机所有站点及绑定域名，不用手动复制粘贴；
• 默认管理员权限运行：枚举站点、导入证书、绑定 IIS 所需权限一步到位。

三、核心功能

3.1 两种域名验证方式，按需选择

泛域名证书只能走 DNS-01，这是 Let’s Encrypt 的规则；内网服务器、80 端口被占用的场景也优先选 DNS-01。

3.2 签发即部署

证书签发后自动完成三步，无需任何手工操作：

1. 生成 PFX；
2. 导入「本地计算机/个人」证书存储；
3. 按证书指纹（SNI）自动绑定回 IIS 站点的 https 绑定。

3.3 自动续期（⚠️ 专业版功能，免费版不支持）

自动续期是 QingSSL 解决续签痛点的核心能力，但需要专业版授权：

• 注册 Windows 计划任务：每天在 0:00–6:00 随机错峰、以 SYSTEM 最高权限静默运行，不弹窗、不占桌面，适合无人值守的生产环境；
• 证书剩余有效期 < 30 天 时自动重签并重新部署；
• 从此证书管理从「定期救火」变成「设一次、不用管」。

免费版用户的现实选择：没有自动续期，90 天有效期的问题并没有被真正解决——到期前仍需手动打开程序重跑一次向导（好在站点和参数有记录，比完全手动导证书省事）。若必须无人值守自动化，请评估专业版，或直接使用文末推荐的免费方案 win-acme。

3.4 其他贴心设计

• 内置 staging 测试环境：调试阶段可切到 Let’s Encrypt 测试环境，避免频繁请求触发生产环境限流（生产环境每周每域名签发上限有限）；
• 静默自动更新：检测到新版本后自动下载并原地替换，无需人工干预。

四、快速上手（三步走）

第 1 步：下载并运行

把程序放到服务器固定目录（如 D:\QingSSL\qingssl.exe），以管理员身份运行（程序清单已声明 requireAdministrator，会自动提权）。

第 2 步：向导部署

点击「开始部署」，依次完成：

1. 选择 IIS 站点（自动列出，含物理路径与运行状态）；
2. 选择要签发证书的域名（也可填自定义域名，支持 *.example.com 泛域名）；
3. 选择验证方式（HTTP-01 或 DNS-01，DNS-01 需配置 DNSPod/阿里云 API 密钥）；
4. 填写联系邮箱（用于到期提醒和账户恢复）。

第 3 步：确认并自动执行

确认后程序自动完成签发、PFX 生成、证书导入与 IIS 绑定。

注意：注册每日自动续期计划任务需专业版授权；免费版到此为止，证书到期前需手动重跑部署向导。

五、授权说明（免费版 ≠ 自动化）

定价相当良心：60 元一次买断、永久授权，不是年费订阅，一台机器 60 元换个「设一次、不用管」的无人值守续期，比证书过期导致一次业务中断的损失便宜得多。

换句话说：免费版只是把「手动续签」从五步繁琐操作简化成了一次向导点击，90 天到期前仍要人工干预；真正实现「设一次、不用管」必须上专业版。按需求选择：

• 偶尔给单个站点签证书、能接受每 90 天手动点一次 → 免费版够用；
• 生产环境、多站点、要求无人值守 → 花 60 元/台买专业版最省事；

六、免费替代方案：win-acme（自动续期不收费）

如果只想要「免费 + 全自动续期」，老牌开源工具 win-acme 是目前 Windows/IIS 上最成熟的选择：

• 开源免费，无授权限制，自动续期不收费；
• 同样通过 ACME 支持 HTTP-01 / DNS-01 验证，支持泛域名；
• 首次运行 wacs.exe 向导式创建证书后，自动注册 Windows 计划任务，到期前自动重签并绑定 IIS，全程无需付费；
• 代价是命令行交互界面（无图形 GUI），对纯命令行不熟悉的运维有一定上手门槛。

选型小结：60 元/台永久授权换图形化省心 → QingSSL 专业版；追求零成本自动化 → win-acme；只是想减少手动操作步骤 → QingSSL 免费版。

七、实践建议与注意事项

1. 先测试后生产：首次配置建议切到 staging 测试环境跑通全流程，验证 DNS API 权限、防火墙放行（HTTP-01 需放行 80 端口）后再切回生产，避免触发 Let’s Encrypt 限流。
2. DNS-01 需要域名托管匹配：域名必须托管在 DNSPod（腾讯云）或阿里云，并准备对应平台的 API 密钥（建议使用最小权限子账号 Token）。
3. 多站点共用证书：泛域名证书（DNS-01）可覆盖 *.example.com 的全部子域名站点，一个证书绑定多个站点，管理成本最低。
4. 免费版务必设置到期提醒：没有自动续期，建议在日历上提前 30 天设提醒（Let’s Encrypt 也会向注册邮箱发送到期通知，邮箱务必填写真实可收信的地址），避免证书过期酿成事故。
5. 与 win-acme 的对比：win-acme（wacs.exe）是老牌开源命令行方案，功能更强、生态更成熟、自动续期免费；QingSSL 的优势在于图形化向导 + 中文界面 + 单文件免安装，对不熟悉命令行的 Windows 运维更友好。

八、总结

QingSSL 把 IIS 上「生成 CSR → ACME 验证 → 制作 PFX → 导入证书存储 → 绑定站点」这条又碎又容易出错的链路，收敛成了一次向导点击：

• 单 exe 零依赖，Rust 实现，向导式操作，对新手友好；
• HTTP-01 / DNS-01 双验证，支持泛域名，覆盖绝大多数 IIS 场景；
• 但要注意：免费版只覆盖「申请 + 部署」，自动续期是专业版能力——免费版用户到期前仍需手动重跑向导。

选型建议：

• 追求零成本全自动：直接上开源的 win-acme，自动续期不收费；
• 愿意花小钱买图形化省心：QingSSL 专业版，60 元/台一次性买断永久授权；
• 只是想简化手动操作：QingSSL 免费版 + 自建到期提醒。