Let's Encrypt SSL自動更新スクリプト｜証明書発行・HSTS設定・自動更新対応（Linux/Bash）

Let's Encryptの証明書は90日で失効します。cronの設定を忘れていた、renewが静かに失敗していた、気づいたらHTTPSが壊れていた──という経験がある方は少なくないはずです。

このスクリプトは、証明書の発行からHSTS等のセキュリティヘッダー設定、自動更新、更新後のフック処理までを1本のBashスクリプトで完結させます。UbuntuおよびDebian上のnginx環境（またはwebroot方式で配信できるサイト全般）に対応しています。

■ 主な機能

・Certbotのインストールから証明書発行までをワンコマンドで実行（nginxプラグインによる自動HTTPSリダイレクト、またはwebroot方式。単一・複数ドメイン対応）

・HSTS・セキュリティヘッダー（X-Content-Type-Options、X-Frame-Options、Referrer-Policy）をnginxのSSLブロックに自動追加。設定のバックアップと、検証失敗時の自動ロールバックつき

・certbot自身のsystemdタイマーによる自動更新（cron不要）

・更新成功後にnginxをリロード・ログ出力するデプロイフックの導入管理（任意でWebhook POSTも可能）

・statusコマンドで証明書の有効期限と更新タイマーの状態を一目で確認

・--dry-run対応の手動更新トリガー

・root権限・依存関係のチェックと明確なエラーメッセージ。nginxのリロードや更新に失敗しても、設定が壊れた状態のまま放置されることはありません

■ こんな人におすすめ

・証明書更新をcronの手動設定に頼っていて、更新失敗に気づけない不安がある方

・HSTSやセキュリティヘッダーの設定を毎回手作業でnginxに書いているDevOpsエンジニア

・複数ドメイン・複数サーバーの証明書運用を標準化したいシステム管理者

■ 動作確認について

実際のnginx・certbotバイナリを使って、証明書発行後のHTTPS配信、HSTSヘッダーの付与、HTTP→HTTPSリダイレクトまで一通り実機検証済みです。証明書発行（issueコマンド）自体はLet's Encryptのサーバーに到達できる実ドメインが必要なため、ご自身のドメインで最初に一度お試しいただくことをおすすめします。