用 acme.sh 或者 certbot，配置定时任务自动续。

关键：续期后要 reload nginx，不然还是旧证书。

建议加个到期提醒，双保险。