Certbot续期后自动重载Nginx需显式配置--deploy-hook执行systemctl reload nginx或nginx -s reload，并确保Nginx配置语法正确、证书路径为live目录下符号链接、权限合理，且通过--dry-run和日志验证钩子生效。

要在 Nginx 中让 Certbot 续期后自动重载服务，关键不是“Certbot 默认会重载”，而是你必须显式告诉它：证书更新成功后，执行 systemctl reload nginx（或 nginx -s reload）。

确保 Nginx 配置能被 Certbot 正确识别和重载

Certbot 的 --nginx 插件在首次申请时会尝试修改你的 Nginx 配置，但后续续期不会再次改写配置文件——它只负责换证书、触发钩子。所以你要确认：

• Nginx 主配置中没有语法错误：sudo nginx -t 必须返回 success
• 所有 ssl_certificate 和 ssl_certificate_key 指令都指向 /etc/letsencrypt/live/域名/ 下的符号链接（如 fullchain.pem 和 privkey.pem），不要写死绝对路径
• 证书目录权限合理：Nginx 工作进程用户（如 www-data 或 nginx）需对 /etc/letsencrypt/archive/ 和 /etc/letsencrypt/live/ 有读取权限

必须配置 deploy-hook 才能自动重载

Certbot 续期本身不重启或重载任何服务。要实现“证书一更新，Nginx 就生效”，必须使用 --deploy-hook 参数指定命令：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 如果是 systemd 系统（Ubuntu/Debian/CentOS 8+），推荐加在 renew 命令里：
  sudo certbot renew --quiet --deploy-hook "systemctl reload nginx"
• 如果用 cron 定时任务（如 CentOS 7），编辑 root 的 crontab：
  0 3 * * * /usr/bin/certbot renew --quiet --deploy-hook "/usr/bin/systemctl reload nginx"
• 注意：命令中 systemctl reload nginx 要完整可执行；若 Nginx 不是通过 systemd 管理，改用 /usr/sbin/nginx -s reload

验证自动重载是否真正生效

光写上 --deploy-hook 不代表它一定运行成功。你需要：

• 手动模拟一次续期：sudo certbot renew --dry-run，观察输出末尾是否有 Running deploy hook command 和 Successfully received certificate
• 查看系统日志确认重载动作：sudo journalctl -u certbot --since "1 hour ago" | grep reload
• 检查 Nginx 错误日志是否因证书路径错误导致重载失败：sudo tail -n 20 /var/log/nginx/error.log

进阶建议：加配置校验再重载

为避免证书更新后因配置错误导致 Nginx 重载失败、服务中断，建议把校验步骤也纳入钩子：

• 写一个简单脚本 /usr/local/bin/reload-nginx-safe：

#!/bin/bash
if nginx -t > /dev/null 2>&1; then
    systemctl reload nginx
else
    logger -t certbot "Nginx config test failed, skip reload"
fi

• 然后在 deploy-hook 中调用它：
  --deploy-hook "/usr/local/bin/reload-nginx-safe"