路线 B：宝塔面板 5 分钟装好证书

一张表看懂

菜单名称依据宝塔官方文档（docs.bt.cn，2026-09-30 更新版），不同版本可能略有差异——以你看到的实际界面为准。

什么时候选这条路，什么时候别选

选它，如果你：

• 服务器上装了宝塔面板（登录地址形如 https://服务器IP:端口/安全入口，安装时终端里给出）；
• 你不想敲命令，只想点鼠标；
• 网站由面板里的 Nginx 或 Apache 提供（面板默认装的是 Nginx）。

别选它，如果你：

• 服务器上没有面板、你习惯用 SSH——走路线 A：Linux + Certbot，命令更可控；
• 后台是 cPanel（虚拟主机）——见〔路线 C：cPanel〕；
• 没有服务器权限、只能管域名——见〔路线 D：Cloudflare〕；
• 网站建在 Shopify / Wix / WordPress.com——平台会自动签发，见〔路线 E：SaaS 平台〕。

不确定自己属于哪条路线？先看 6 道题流程图，或读《网站 SSL 证书免费部署完全指南》第 0.3 节：

动手前的 4 项确认

这四项都是「只看不改」的检查，先做完再点申请，能避开绝大多数失败。

步骤总览

第 1 步：登录宝塔面板

1. 1. 打开浏览器，输入面板地址：https://服务器IP:端口/安全入口（安装宝塔时终端里会打印这个地址和初始账号密码，建议当时就截图保存）。
2. 2. 用账号密码登录。如果记不清地址，可以看服务器上的面板配置，或在云控制台用「远程连接」登录服务器后运行 bt default 查看。
3. 3. 登录后左侧菜单能看到「网站」「FTP」「数据库」「安全」等项。

第 2 步：用「文件验证」申请 Let's Encrypt（最常用）

1. 1. 点左侧菜单 网站。在网站列表里点你的站点域名（或该行右侧的「设置」）。

1. 2. 弹出「站点修改」窗口，点左侧的 SSL。
2. 3. 选 Let's Encrypt 标签（部分新版本叫「免费证书」）。
3. 4. 点 申请证书。

1. 5. 在弹出的对话框里依次选择：

• 证书品牌：Let's Encrypt（国际通用）。宝塔也提供 LiteSSL，官方文档称其国内访问更稳定，外贸站两者都可以；
• 证书算法：RSA2048（兼容性最好，默认推荐）；
• 验证方式：文件验证；
• 域名：把根域名和 www 都勾上。

1. 6. 点 申请证书，等待几十秒。

1. 7. 成功后，SSL 页面会显示证书品牌、认证域名、到期时间，状态为已部署。如果需要手动点「保存」，就点一下。

你应该看到（成功标志）： SSL 页显示「剩余 89 天」左右，网站列表的「SSL证书」一列从「未部署」变成剩余天数。

申请失败怎么办

第 3 步：开启强制 HTTPS

1. 1. 还在站点设置 → SSL 页面，找到右上角的 强制HTTPS 开关，打开。
2. 2. 用无痕窗口访问 http://你的域名，应自动跳转到 https。

第 4 步：验证（浏览器 + 命令 + 在线检测）

面板说「已部署」不等于访客看到的就是安全。三件事都做一遍：

1. 1. 浏览器：访问 https://你的域名，点地址栏左侧图标 → 应显示「连接是安全的」→ 再点「证书有效」，核对颁发对象（你的域名）和有效期。

1. 2. 四种网址都试：https://你的域名、https://www.你的域名、http://你的域名、http://www.你的域名。前两个应正常，后两个应自动跳转到 https。手机上也打开一次（手机浏览器对证书链问题更敏感）。
2. 3. 命令确认（在服务器上或用本机终端）：

curl -I http://你的域名
curl -vI https://你的域名 2>&1 | grep -E "subject|date|issuer|verify|HTTP/"

第 1 行应返回 301 Moved Permanently；第 2 行应看到 SSL certificate verify ok 和正确的到期日。

1. 4. 在线检测：在 https://www.ssllabs.com/ssltest/ 输入域名，目标 A 或 A+。

第 5 步：确认自动续签

宝塔官方文档说明：免费证书有效期 3 个月，默认自动续签。但「默认」不等于「一定成功」，请做两件事：

1. 1. 到期前一个月左右回到 站点设置 → SSL 页面，看剩余天数是否已经刷新（例如从「剩余 30 天」变成「剩余 89 天」，说明续签成功）。
2. 2. 设置外部到期监控做双保险：用免费的证书监控服务（到期前发邮件），或在手机日历里按到期日提前 20 天设提醒，内容写「检查网站证书是否已自动续签」。

通配符证书：用 DNS 验证

如果你有很多子域名（shop.、m.、blog.），可以申请一张 *.你的域名 的通配符证书。通配符证书只能用 DNS 验证（证明你能修改域名的 DNS 记录）。

1. 1. 先到 DNS 服务商（阿里云、腾讯云 DNSPod、Cloudflare 等）后台创建 API 密钥（AccessKey/SecretKey 或 API Token），权限尽量只给「DNS 解析管理」。
2. 2. 宝塔左侧菜单 SSL → 域名管理 → DNS接口设置 → 添加DNS接口，选择服务商，填入密钥，点确定。

1. 3. 回到 站点设置 → SSL → Let's Encrypt → 申请证书，验证方式选 DNS 验证，选择刚添加的 DNS 接口，勾选域名（含通配符），申请。
2. 4. 宝塔会自动添加验证用的 TXT 记录、完成验证、签发证书，之后也能自动续签。

宝塔还是 Certbot：怎么选

两条路线都免费、都自动续期，区别只在「操作方式」和「可控程度」。

申请与续签前的小抄（照着打勾）

申请失败和续签失败的原因高度重合，动手前把这几项过一遍：

• [ ] 域名 A 记录指向这台服务器的公网 IP（用 dns.google 查 type=A 对一遍）
• [ ] 没有多余的 AAAA（IPv6）记录指向旧服务器
• [ ] 云安全组放行 TCP 80、443
• [ ] 宝塔左侧「安全」页面里系统防火墙也放行 80、443
• [ ] 站点「域名管理」里根域名和 www 都绑定好了
• [ ] 站点的 CDN、反向代理、301 跳转已临时关闭
• [ ] 面板账号能正常登录、有该站点的管理权限
• [ ] 服务器在中国大陆的话，域名已完成 ICP 备案

宝塔 + CDN（Cloudflare 等）同时用要注意什么

很多企业网站在服务器前面挂了一层 Cloudflare（免费 CDN + 防护）。这时证书有两段：访客 ↔ Cloudflare 和 Cloudflare ↔ 你的服务器。两段都要有效，且加密模式要选对，否则会出现下面这些错误。

装好之后还要做的三件事

① 修混合内容。 页面本身是 https，但里面的图片、脚本、样式还是 http:// 地址，浏览器仍会提示「不安全」，严重时排版错乱、询盘表单失效。找法：Chrome 打开网页按 F12（Mac：Option + Command + I）→ Console（控制台）→ 找 Mixed Content 字样，它会写出是哪个 http:// 地址；也可以在网页上右键 → 查看网页源代码 → 搜 http://。修法：

• 把网站后台设置里的「网站地址」改成 https（WordPress：设置 → 常规，「WordPress 地址」和「站点地址」都改）；
• 把文章、产品详情里写死的 http://你的域名/... 图片地址批量替换为 https://（操作前先备份数据库）；
• 第三方资源（在线客服、地图、统计代码）换成它们的 https 版本；
• 用了 Cloudflare 的，打开「自动 HTTPS 重写（Automatic HTTPS Rewrites）」。

② HSTS 先别急着开。 HSTS（HTTP 严格传输安全）会让浏览器在一段时间内「只认 https」，很安全，但一旦证书出问题，访客连「继续访问」按钮都没有。建议全站 https 稳定运行几周后再考虑，并从较短的有效期开始。

③ 更新 Google Search Console。 网站从 http 变成 https 后，去 https://search.google.com/search-console 添加 https 版本的资源（推荐用「网域」类型，用 DNS TXT 记录验证，一次覆盖 http/https 和所有子域名），并在「站点地图」里提交 https 版本的 sitemap，例如 https://www.你的域名/sitemap.xml。只换协议、不换域名时，做好 301 跳转即可，不需要用「更改地址」工具。

点「申请证书」之后，后台发生了什么（30 秒看懂）

明白了原理，失败时你就知道该查哪里：

1. 1. 面板向 Let's Encrypt 说：「我想给 你的域名 申请证书。」
2. 2. Let's Encrypt 反问：「你怎么证明这个域名是你的？」——这就是验证。
3. 3. 选了文件验证时，面板会在你网站根目录的 .well-known/acme-challenge/ 下放一个临时文件，内容是一串随机字符；Let's Encrypt 从 http://你的域名/.well-known/acme-challenge/... 把这个文件读回来，读到了就证明「你能控制这个域名」。
4. 4. 验证通过，Let's Encrypt 签发证书，面板自动把它配置到站点并重新加载网页软件。
5. 5. 以后每次续签，重复第 3 步。

DNS 验证（通配符证书必须用）是另一条路：面板不往网站放文件，而是往你的 DNS 里写一条 TXT 记录，Let's Encrypt 去 DNS 里读。好处是不依赖 80 端口、网站开着 CDN 也能过；代价是要先把 DNS 服务商的 API 密钥交给面板。

站点设置里那几个页面和证书的关系

「站点修改」窗口左侧有好几项，第一次用容易点错。和证书有关的只有两项，其余是干扰项：

证书到期的时间线（照这个节奏走）

免费证书不会「一次装好管一辈子」，它会不断到期、不断自动续签。按下面的时间线走，就不会突然发现网站红屏：

同一台服务器有多个网站时

一台服务器上跑几个网站很常见（主站、商城、二级域名站）。要点：

1. 1. 每个站点单独申请、单独部署。 在「网站」列表里对每个站点各走一遍本文第 2 步——不要把 A 站点的证书粘到 B 站点上，否则访问 B 会报「名称不符」。
2. 2. 一个站点对应一张证书，证书里包含该站点绑定的所有域名（根域名 + www + 该站的其他子域名）。
3. 3. 如果几个站点共用同一个根域名的不同子域名，可以给它们各申请一张，也可以申请一张包含全部子域名的证书（勾选时都勾上）；子域名很多时才考虑通配符。
4. 4. 先确认哪个站点对应哪个域名：面板「网站」列表里每个站点都写着绑定域名，对不上就点进去看「域名管理」。

面板地址或密码找不到了怎么办

不是每个老板都记得当初面板装在哪、密码是什么。按这个顺序找：

1. 1. 看当初的安装记录：安装宝塔时终端会打印面板地址、用户名、密码，很多人当时截图存在手机相册或微信收藏里，先翻一遍。
2. 2. 在服务器上查：用云控制台的「远程连接 / Workbench / VNC」登录服务器（不需要面板密码），运行 bt default，会重新打印面板地址和默认账号密码。
3. 3. 用命令重置：bt 命令会进入面板管理菜单，里面可以改密码、改端口、改安全入口、重启面板。
4. 4. 问建站公司：如果服务器和面板都是建站公司配的，让他们给你开一个子账号，或把面板地址和只读权限交给你。顺便要回服务器 SSH 权限——只有面板权限、没有服务器权限，将来换服务商会被卡住。

名词一句话解释

看面板和本文时遇到的词，这里都有一句话解释：

失败排查表

面板里的「证书品牌」怎么选

宝塔的申请对话框里通常能选 Let's Encrypt 或 LiteSSL，两者都是免费 DV 证书（DV = 只验证域名控制权）。选哪个？

常见坑（踩过一次就记住）

1. 1. 只勾了根域名，没勾 www。 结果访问 https://www.你的域名 报「名称不符」。申请时两个都勾上。
2. 2. 申请前忘了关 CDN / 反向代理。 官方明确提示这些会导致验证或续签失败。申请和续签前先临时关掉。
3. 3. 只放行了安全组，忘了系统防火墙。 宝塔「安全」页面里也要确认 80、443 放行——两道门都得开。
4. 4. 把「面板里显示已部署」当成完事。 强制跳转、混合内容、自动续签、到期监控这四件事一件都不能少。
5. 5. **通配符证书勾了 *.域名 却没勾根域名。** 通配符不覆盖 你的域名 本身，两个都要勾。
6. 6. 面板密码随手发。 面板能改服务器一切配置；给外部人员用子账号，事后收回。
7. 7. 证书文件手动粘贴时漏了中间证书。 手机端会提示「证书不可信」，电脑却正常——这是证书链不完整的典型表现。
8. 8. 换了服务器却忘了在新服务器上重新申请。 免费证书不用「迁移」，在新服务器上重新申请即可；正确顺序是先在新服务器准备好网站、再改 DNS、DNS 生效后立刻申请，避免证书错误的窗口期。
9. 9. 删了站点却没删证书对应的绑定。 网站搬家或换域名后，旧站点留下的绑定可能让新站点匹配到错误的证书，表现为「名称不符」。把不再使用的站点/域名绑定清理掉。
10. 10. 在面板里同时开了两处跳转。 强制 HTTPS 加上伪静态里的 301，会让浏览器无限跳转。只保留一处。

出事了怎么回滚

改错了想回到动手前，宝塔里很好退：

1. 1. 关掉强制 HTTPS：站点设置 → SSL → 右上角开关关掉，网站立刻回到「http 可访问」的状态。
2. 2. 换回旧证书：如果你手动粘贴过证书文件，把原证书内容粘回去并保存；如果没有旧证书，直接重新申请一张即可。
3. 3. 检查跳转冲突：站点设置 → 伪静态 / 重定向，确认没有和强制 HTTPS 打架的规则。
4. 4. 确认网站已恢复：curl -sI http://你的域名 | head -1 应重新返回 200。

把这件事交给 AI 智能体

如果你更想「有人带着做」，可以把本页的「一键复制给智能体」提示词复制给常用的 AI 智能体（豆包、ChatGPT、Claude、Codex 等）。它会先问你几个问题、帮你核对域名解析和端口，再按面板菜单一步一步带你点，每一步改动前先征求你的同意，最后给你一张「部署完成清单」。