如何通过宝塔快速申请免费SSL证书并轻松续签，保障网站安全？
- 内容介绍
- 相关推荐
太坑了。 你们好，老友们！今天咱就聊聊怎样用宝塔面板搞定免费SSL， 给你的网站加上一层平安防护，别说我没提醒你，毕竟现在HTTPS成了标准。
先说一句：为什么要装SSL？
等着瞧。 嘿，别看这玩意儿听起来高大上，其实它就是给你的网站和用户之间搭起一条加密的通道。浏览器地址栏出现小绿锁，那可不是花哨，而是告诉大家“这条路不被嗅探”。如果你的网站还没HTTPS，你的访客会被警告“非平安”，搜索排名也会受影响。再者，很多支付、登录等敏感操作都离不开SSL。
宝塔面板到底是什么？
想象一下你是服务器管理的老司机，却不想每次都敲命令行。宝塔面板就是个图形化的助手，让服务器管理像玩游戏一样简单。它自带Nginx、Apache，还有让你一键申请Let’s Encrypt证书的功能，抓到重点了。。
一步步搞定Let’s Encrypt免费证书
好了现在开始吧！记得先确认你的域名已经解析到服务器IP，并且80/443端口对外开放。 我们都曾是... 如果有反向代理或者自定义Nginx配置，一点也不怕，后面会说怎么调整。
登陆宝塔面板
说明….. 打开浏览器， 输入你的面板地址，比方说https://yourdomain.com:8888。用管理员账号进去后你会看到一个干净利落的大盘子。先点个网站标签，看下你已有的网站列表。
选中目标站点
在站点列表里找到你想给SSL的域名，然后点击右侧的设置按钮。进入设置页后滚动到最下面你会看到一个叫SSL的小卡片，抓到重点了。。
A种：一键申请Let’s Encrypt
#提示#：
1️⃣ 勾选Select All Domains, 或者手动挑选需要证书的域名；
2️⃣ 在邮箱框里填上你的邮箱；
3️⃣ 点击Create SSL, 宝塔就开始跑命令啦。
A1：可能遇到的问题 & 解决方案
- 域名解析不到服务器IP： 请检查DNS是否已生效，最好等TTL过期再试。
- Nginx或Apache没有开启80/443端口： 检查防火墙和云平安组规则，把80和443放行。
- .htaccess 或 Nginx 重写冲突：
如果你之前手工写了重定向规则， 可以先禁用，再让宝塔自动处理；或者在配置文件里把
-DSECURITY=1加回来。 - TLS协议版本太低： 可以在宝塔高级设置里把 TLSv1.x 升级到 TLSv1.2 或更高。
- "Certificate Expired" 错误： 说明之前手工上传过旧证书，要删掉再重新申请一次。
- "Permission denied" 的报错： 检查 /etc/nginx/conf.d/ 下对应站点文件是否可读，可改为 644 权限再尝试一次。
- "The domain name does not match certificate subject names"： 说明域名与证书不符， 通常是多域名情况，要确保在申请时勾选了所有子域或通配符域名。
A2：手工上传自定义证书
If you have a cert from anor CA:
- Create a folder called
/ssl/custom/yourdomain.com/; put your cert and key re. - You can also upload .pem if you prefer.
A3：自动续签设置
这事儿我可太有发言权了。 The beauty of Let’s Encrypt is that certificates last only 90 days. But don’t freak out! In SSL card under your site settings you'll see a toggle for “Auto Renew”. Flip it on.
- The panel will check every day if your cert is about to expire.
B种：手动申请并部署
我明白了。 If you prefer to use Certbot manually:
- You can SSH into your server.
sudo apt-get install certbot
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
This will ask for your email and confirm dom ICU你。 ain ownership by creating a file on port 80.
常见问题排查小技巧——当你卡壳时该怎么做？
- 我收到“Could not verify domain”怎么办？
别犹豫... ① 确认 DNS A record 指向当前服务器 IP； ② 检查是否存在 CDN 层或 Cloudflare 等代理， 这些代理会隐藏真实 IP； ③ 如使用 Cloudflare，请切换为 DNS Only 或开启 Page Rules，将 HTTP 到 HTTPS 的跳转关闭。
- 我可以直接在网页上下载并粘贴吗？ 吗？哈——不行啦！主要原因是证书必须保存在服务器上，并且配置 Nginx 所以只能通过后台操作或SSH方式完成。
-
我听说 Let’s Encrypt 有频率限制，不是天天可以领一次吗？ `
**简短回答**：每天最多可以发起10次请求，如果多于这个，就得等一天。正常流程根本不会碰到。
还有一点要注意若你的站点使用的是 IPv6， 需要把 IPv6 的80/443端口也开放，否则 Let’s Encrypt 无法。
“什么叫通配符 SSL”，我到底能不能用？
没准儿… 通配符 SSL 可以覆盖所有子域，比如 *.example.com。当你只需要一个主域和所有子域都加密时它特别方便。但请记住：
- 通配符只能用于子域，而不能覆盖根域。
- 宝塔目前只支持 Let’s Encrypt 的通配符， 但它也只能来获取证书，所以需要有权限修改 DNS TXT 记录。
HSTS 设置， 让浏览器永远走 HTTPS
HSTS 就是一种 HTTP 响应头，用来告诉浏览器以后一定走 HTTPS。要启用它， 只需在 Nginx 配置中添加：，C位出道。
nginx add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;，说句实话…
我们都... 这样即使有人尝试访问 http:// ，浏览器也会自动跳转到 https://。
如何验证自己的 SSL 已经生效？
- 在 Chrome 地址栏输入 https://yourdomain.com ，看左边有没有小绿锁。
- 用在线工具比如 SSL Labs 的测试页面也能看到分数和细节。
- 如果想快速本地检查，可用
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com命令查看握手过程。
常见错误汇总
| 错误 | 原因 | 对策 |
|---|---|---|
400 Bad Request |
请求头中的 Host 与 Nginx 配置不匹配 | 检查 VirtualHost 是否正确 |
502 Bad Gateway |
后端服务未启动或 Nginx 配置错误 | 查看 error.log 找原因 |
503 Service Unavailable |
网站维护模式 | 把维护模式关掉 |
小贴士：不要忘记备份配置
虽然宝塔提供图形化操作， 但万一出现意外最好把 /etc/nginx/sites-enabled/ 和 /etc/php-fpm.d/ 等目录里的文件复制出来放个地方，以免丢失。
一下
- 步骤一确认 DNS + 防火墙 OK；
- 步骤二在宝塔网站设置里打开 SSL 卡片；
- 步骤三选择 Let’s Encrypt， 一键申请；
- 步骤四开启 Auto Renew 自动续签；
- 步骤五添加 HSTS，让浏览器永远走 HTTPS；
- 步骤六检查效果，确保没有错误。
我始终觉得... 嘿，那是不是感觉好像学到了不少技术细节？别忘了保存这些笔记，下次遇到类似问题就能自己解决了。最重要的是你现在拥有了一条平安通道，让访客安心，一边提升搜索排名——两全其美！
如果还有什么坑没说清楚，就留言让我帮忙排查吧。毕竟咱是老朋友嘛，不管啥技术难题，我都陪着你一起闯过去，踩雷了。！
太坑了。 你们好，老友们！今天咱就聊聊怎样用宝塔面板搞定免费SSL， 给你的网站加上一层平安防护，别说我没提醒你，毕竟现在HTTPS成了标准。
先说一句：为什么要装SSL？
等着瞧。 嘿，别看这玩意儿听起来高大上，其实它就是给你的网站和用户之间搭起一条加密的通道。浏览器地址栏出现小绿锁，那可不是花哨，而是告诉大家“这条路不被嗅探”。如果你的网站还没HTTPS，你的访客会被警告“非平安”，搜索排名也会受影响。再者，很多支付、登录等敏感操作都离不开SSL。
宝塔面板到底是什么？
想象一下你是服务器管理的老司机，却不想每次都敲命令行。宝塔面板就是个图形化的助手，让服务器管理像玩游戏一样简单。它自带Nginx、Apache，还有让你一键申请Let’s Encrypt证书的功能，抓到重点了。。
一步步搞定Let’s Encrypt免费证书
好了现在开始吧！记得先确认你的域名已经解析到服务器IP，并且80/443端口对外开放。 我们都曾是... 如果有反向代理或者自定义Nginx配置，一点也不怕，后面会说怎么调整。
登陆宝塔面板
说明….. 打开浏览器， 输入你的面板地址，比方说https://yourdomain.com:8888。用管理员账号进去后你会看到一个干净利落的大盘子。先点个网站标签，看下你已有的网站列表。
选中目标站点
在站点列表里找到你想给SSL的域名，然后点击右侧的设置按钮。进入设置页后滚动到最下面你会看到一个叫SSL的小卡片，抓到重点了。。
A种：一键申请Let’s Encrypt
#提示#：
1️⃣ 勾选Select All Domains, 或者手动挑选需要证书的域名；
2️⃣ 在邮箱框里填上你的邮箱；
3️⃣ 点击Create SSL, 宝塔就开始跑命令啦。
A1：可能遇到的问题 & 解决方案
- 域名解析不到服务器IP： 请检查DNS是否已生效，最好等TTL过期再试。
- Nginx或Apache没有开启80/443端口： 检查防火墙和云平安组规则，把80和443放行。
- .htaccess 或 Nginx 重写冲突：
如果你之前手工写了重定向规则， 可以先禁用，再让宝塔自动处理；或者在配置文件里把
-DSECURITY=1加回来。 - TLS协议版本太低： 可以在宝塔高级设置里把 TLSv1.x 升级到 TLSv1.2 或更高。
- "Certificate Expired" 错误： 说明之前手工上传过旧证书，要删掉再重新申请一次。
- "Permission denied" 的报错： 检查 /etc/nginx/conf.d/ 下对应站点文件是否可读，可改为 644 权限再尝试一次。
- "The domain name does not match certificate subject names"： 说明域名与证书不符， 通常是多域名情况，要确保在申请时勾选了所有子域或通配符域名。
A2：手工上传自定义证书
If you have a cert from anor CA:
- Create a folder called
/ssl/custom/yourdomain.com/; put your cert and key re. - You can also upload .pem if you prefer.
A3：自动续签设置
这事儿我可太有发言权了。 The beauty of Let’s Encrypt is that certificates last only 90 days. But don’t freak out! In SSL card under your site settings you'll see a toggle for “Auto Renew”. Flip it on.
- The panel will check every day if your cert is about to expire.
B种：手动申请并部署
我明白了。 If you prefer to use Certbot manually:
- You can SSH into your server.
sudo apt-get install certbot
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
This will ask for your email and confirm dom ICU你。 ain ownership by creating a file on port 80.
常见问题排查小技巧——当你卡壳时该怎么做？
- 我收到“Could not verify domain”怎么办？
别犹豫... ① 确认 DNS A record 指向当前服务器 IP； ② 检查是否存在 CDN 层或 Cloudflare 等代理， 这些代理会隐藏真实 IP； ③ 如使用 Cloudflare，请切换为 DNS Only 或开启 Page Rules，将 HTTP 到 HTTPS 的跳转关闭。
- 我可以直接在网页上下载并粘贴吗？ 吗？哈——不行啦！主要原因是证书必须保存在服务器上，并且配置 Nginx 所以只能通过后台操作或SSH方式完成。
-
我听说 Let’s Encrypt 有频率限制，不是天天可以领一次吗？ `
**简短回答**：每天最多可以发起10次请求，如果多于这个，就得等一天。正常流程根本不会碰到。
还有一点要注意若你的站点使用的是 IPv6， 需要把 IPv6 的80/443端口也开放，否则 Let’s Encrypt 无法。
“什么叫通配符 SSL”，我到底能不能用？
没准儿… 通配符 SSL 可以覆盖所有子域，比如 *.example.com。当你只需要一个主域和所有子域都加密时它特别方便。但请记住：
- 通配符只能用于子域，而不能覆盖根域。
- 宝塔目前只支持 Let’s Encrypt 的通配符， 但它也只能来获取证书，所以需要有权限修改 DNS TXT 记录。
HSTS 设置， 让浏览器永远走 HTTPS
HSTS 就是一种 HTTP 响应头，用来告诉浏览器以后一定走 HTTPS。要启用它， 只需在 Nginx 配置中添加：，C位出道。
nginx add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;，说句实话…
我们都... 这样即使有人尝试访问 http:// ，浏览器也会自动跳转到 https://。
如何验证自己的 SSL 已经生效？
- 在 Chrome 地址栏输入 https://yourdomain.com ，看左边有没有小绿锁。
- 用在线工具比如 SSL Labs 的测试页面也能看到分数和细节。
- 如果想快速本地检查，可用
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com命令查看握手过程。
常见错误汇总
| 错误 | 原因 | 对策 |
|---|---|---|
400 Bad Request |
请求头中的 Host 与 Nginx 配置不匹配 | 检查 VirtualHost 是否正确 |
502 Bad Gateway |
后端服务未启动或 Nginx 配置错误 | 查看 error.log 找原因 |
503 Service Unavailable |
网站维护模式 | 把维护模式关掉 |
小贴士：不要忘记备份配置
虽然宝塔提供图形化操作， 但万一出现意外最好把 /etc/nginx/sites-enabled/ 和 /etc/php-fpm.d/ 等目录里的文件复制出来放个地方，以免丢失。
一下
- 步骤一确认 DNS + 防火墙 OK；
- 步骤二在宝塔网站设置里打开 SSL 卡片；
- 步骤三选择 Let’s Encrypt， 一键申请；
- 步骤四开启 Auto Renew 自动续签；
- 步骤五添加 HSTS，让浏览器永远走 HTTPS；
- 步骤六检查效果，确保没有错误。
我始终觉得... 嘿，那是不是感觉好像学到了不少技术细节？别忘了保存这些笔记，下次遇到类似问题就能自己解决了。最重要的是你现在拥有了一条平安通道，让访客安心，一边提升搜索排名——两全其美！
如果还有什么坑没说清楚，就留言让我帮忙排查吧。毕竟咱是老朋友嘛，不管啥技术难题，我都陪着你一起闯过去，踩雷了。！