--- title: 部署前预检清单：7 项打勾再动手 url: https://www.paibaowork.com/ssl/deploy/preflight/ last_verified: 2026-10-12 version: v1.0 --- ## 为什么要先预检 证书申请失败，绝大多数时候不是证书的问题，而是**网站还没准备好**：域名没解析过来、80 端口没开、DNS 还没生效、域名没备案。这几项一共花 10 分钟，却是「一次成功」和「反复失败」的分水岭【判断】。 **7 项预检全部是「只看不改」**：不装软件、不改配置、不动服务器，查完再动手。页面顶部的可勾选版可以直接打勾，勾选状态只存在你自己的浏览器里。 > [!TIP] 一张表看懂 > 3 项 DNS（A 记录 / www / AAAA）+ 1 项 CAA 记录 + 2 项端口（80 / 443）+ 1 项备案 = 7 项。其中 **80 端口**和 **DNS 解析**两项挡掉了绝大多数失败【判断】。 ## 7 项预检清单（怎么查 / 合格标准 / 不合格怎么办） | # | 检查项 | 怎么查 | 合格标准 | 不合格怎么办 | |---|---|---|---|---| | 1 | 域名 A 记录指向服务器 | `nslookup 你的域名`，或 dns.google 查 `type=A` | 显示的 IP = 你的服务器公网 IP（云控制台里能看到）【官】 | 到 DNS 后台把 A 记录改成服务器 IP，等 10 分钟～24 小时生效 | | 2 | www 也解析了 | `nslookup www.你的域名` | 同上，或是指向主域名的 CNAME | 补一条 `www` 的 A 记录或 CNAME 记录 | | 3 | 没有错误的 AAAA 记录 | dns.google 查 `type=AAAA` | 没有结果，或是服务器真实的 IPv6 地址 | 删除指向旧服务器的 AAAA（IPv6）记录——这是验证失败的隐形杀手 | | 4 | 80 端口外网可达 | 用**手机流量**（不是家里的 Wi-Fi）打开 `http://你的域名` | 能打开网页（哪怕是默认欢迎页、403 页） | 见下文「两道门放行 80 / 443」 | | 5 | 443 端口开放 | `curl -vI https://你的域名` | 能看到 TLS 握手过程（即使证书报错） | 见下文「两道门放行 80 / 443」 | | 6 | 没有 CAA 记录阻挡 | dns.google 查 `type=CAA` | 没有结果，或包含 `letsencrypt.org` | 让 DNS 管理员加一条允许 letsencrypt.org 的 CAA 记录，或删掉旧记录 | | 7 | 中国大陆服务器已备案 | 问建站公司，或看云控制台的备案页 | 已备案，或服务器在境外 | 见下文「备案」一节；证书解决不了备案问题 | > [!TIP] 名词：A 记录、AAAA、CNAME、CAA > **A 记录**：「域名 → IPv4 地址」的对应关系。**AAAA 记录**：「域名 → IPv6 地址」，同名的 AAAA 会优先于 A 记录，所以指向旧服务器的 AAAA 会让验证跑到别人家里去。**CNAME**：「这个域名 = 另一个域名」的别名。**CAA 记录**：规定「只有哪些证书机构可以给我的域名发证书」的白名单；没有这条记录，就代表谁都可以。 ## 两道门放行 80 / 443 云服务器的端口有**两道门**：云厂商控制台里的「**安全组**」（像小区大门）和服务器系统里的「**防火墙**」（像家门）。两道都要放行 TCP 80 和 443——只开一道，证书验证照样失败【官】。 **第一道门：云安全组（在网页控制台点）** | 云厂商 | 菜单路径 | |---|---| | 阿里云 ECS | 实例详情 → 安全组 → 配置规则 → 入方向 → 手动添加 | | 腾讯云 CVM | 实例 → 安全组 → 修改规则 → 入站规则 → 添加规则；轻量应用服务器：实例 → 防火墙 → 添加规则 | | AWS EC2 | 实例 → Security → 点安全组 → Edit inbound rules → Add rule（类型选 HTTP、HTTPS） | 要加两条规则：协议 TCP、端口 **80**、来源 `0.0.0.0/0`；协议 TCP、端口 **443**、来源 `0.0.0.0/0`。保存后一般立即生效。 ![【示意图】云安全组添加 80/443 入方向规则（以阿里云 ECS 为例，菜单名称以实际控制台为准）](/ssl/images/guide/m11_secgroup.png) **第二道门：系统防火墙（用命令）** ![【命令清单】Ubuntu/Debian 用 ufw，CentOS/Rocky 用 firewalld](/ssl/images/guide/k03_firewall.png) ```bash sudo ufw status sudo ufw allow 80/tcp sudo ufw allow 443/tcp ``` 第 1 行查看状态：显示 `Status: inactive`（未启用）说明这道门本来就开着，后两行可以不做。CentOS / Rocky / AlmaLinux 用： ```bash sudo firewall-cmd --permanent --add-service=http sudo firewall-cmd --permanent --add-service=https sudo firewall-cmd --reload ``` `--permanent` 表示重启后依然有效，`--reload` 让设置马上生效，看到 `success` 即可。用宝塔面板的，左侧菜单「安全」里也能直接管理系统防火墙，确认 80、443 在放行列表里。 > [!WARNING] 别把 22 端口对全世界敞开 > SSH 用的 22 端口建议只允许你办公室的 IP 访问。放行 80/443 是必须的，放行 22 给所有人不是。 ## DNS 生效需要时间 改了 DNS 记录或 NS 之后，全世界的 DNS 服务器需要时间「同步」：通常几分钟到几小时，最长可达 48 小时。**判断是否生效**：用 dns.google 查（它查的是全球公共 DNS 的结果），看到新 IP 再去申请证书。 ![【真实截图】在浏览器里用 dns.google 查询域名解析（返回的就是 IP 地址）](/ssl/images/guide/r16_dnsgoogle.png) > [!NOTE] 刚改完 DNS 就去申请，是常见失误 > 表现为验证失败、`NXDOMAIN` 或「DNS problem」。等生效再申请，一次就能过；反复试还会撞上 Let's Encrypt 的频率限制（同一组域名每周 5 次签发、每小时 5 次验证失败）【官】。 ## 备案：中国大陆服务器必须先备案 - 域名解析到**中国大陆服务器**对外提供网站服务，必须先完成 **ICP 备案**。以阿里云为例，其官方帮助文档写明：未在阿里云备案的域名解析到阿里云中国内地服务器，会被监测系统识别并**阻断网站访问**【官】。 - 被阻断时，证书的 HTTP 验证也到不了你的网站，表现为「验证失败 / 连接超时 / 返回备案提示页」。 - 用 DNS 验证可以拿到证书，但**网站本身依然会被阻断**——证书解决不了备案问题，也不要尝试绕过。 - **服务器在境外（含香港）不需要 ICP 备案。** 备案只和「服务器在哪里」有关，和「证书是哪家的」无关。 > [!NOTE] 本节为简要说明 > 备案的流程、时限以工信部和你的云厂商最新规定为准。这里只说明它与证书验证的关系。 ## 常见坑（预检能挡掉 80%） | 症状 | 真实原因 | 怎么修 | |---|---|---| | 验证失败，报 `Timeout` / `connection refused` | 80 端口被安全组或防火墙挡住 | 两道门都放行 80；用手机流量打开 `http://域名` 验证 | | 验证失败，报 `NXDOMAIN` / `DNS problem` | 域名没解析，或 DNS 还没生效 | 用 dns.google 确认看到新 IP 后再申请 | | 验证失败，报 `unauthorized` / 404，或返回了别的网站内容 | A 或 AAAA 记录指向旧服务器；跳转/CDN 拦截了验证文件 | 删掉旧 AAAA；申请时临时关掉 301 与 CDN | | 申请提示 CAA 记录不允许 | CAA 白名单里没有 letsencrypt.org | 加一条 `0 issue "letsencrypt.org"`，或删掉旧记录 | | 反复失败后提示 `too many failed authorizations` | 撞上了频率限制 | 停下来排查，用演练模式测试，不要连续重试 | | 访问时显示「网站未备案」或一直验证失败 | 域名未备案，被云厂商阻断 | 完成备案，或把网站迁到境外服务器 | | 网站用了 Cloudflare，还要预检吗 | 要：Cloudflare 只是访客到边缘那一层，源站证书、源站 443 仍要检查 | 按上面 7 项做一遍，再按 Cloudflare 路线选 Full (strict) | ## 预检做完之后 7 项全部打勾，就可以开始申请证书了： - 自己一步步做：读[网站 SSL 证书免费部署完全指南（小白版）](/ssl/deploy/ssl-guide/)，六条路线选你那条； - 交给 AI 智能体：看[把 SSL 部署交给 AI 智能体：提示词 + Skill 下载](/ssl/deploy/deploy-agent/)，复制提示词即可； - 不确定自己网站现在什么状态：先做一次免费的 [HTTPS 体检](/tools/ssl-check/)； - 不想自己动手：看 [SSL 终身维护服务](/services/ssl-maintenance/)（600 元/域名 · 长期统一价），部署、监控、自动续期与失效应急一次搞定。 ## 常见问题 ### 预检要花多久？需要懂技术吗？ 大约 10 分钟，不需要懂技术。7 项里有 6 项可以用浏览器完成：打开 dns.google 查域名记录、用手机流量打开你的网站，都能直接看出结果。只有查端口那两项需要一条命令，没有终端也可以让建站公司或技术人员帮你跑一次。整份清单只看不改，不会影响正在运行的网站。 ### 为什么说 AAAA 记录是隐形杀手？ AAAA 记录是域名指向 IPv6 地址的记录。当同一个域名既有 A 记录又有 AAAA 记录时，浏览器和证书验证会优先使用 IPv6。如果这条 AAAA 还指向很久以前用过的旧服务器，验证请求就会跑到那台机器上去，结果是验证失败或者返回了别的网站内容，而你在云控制台里看到的 IP 却完全正确，所以很难想到是它。检查方法是在 dns.google 查 type=AAAA，没有结果最好；如果指向旧服务器，直接删掉这条记录。 ### 用 DNS 验证是不是就不用开 80 端口？ 可以少开一道门，但不建议省。绝大多数免费证书默认用 HTTP 验证，走的就是 80 端口；只有通配符证书必须用 DNS 验证。就算这次用 DNS 验证签下来了，80 端口以后续期时还可能用到，而且访客用 http 访问时也需要它跳转。所以建议 80 和 443 都保持放行，443 则是无论如何都必须开的，否则访客根本打不开 https 网站。 ### 我改了 DNS，多久才能申请？ 通常几分钟到几小时，最长可能到 48 小时。判断办法是用 dns.google 查询，它查的是全球公共 DNS 的结果，看到新的 IP 再去申请。刚改完就反复申请是最常见的失误之一，除了必然失败，还会撞上 Let's Encrypt 的频率限制，也就是同一组域名每周 5 次签发、每小时 5 次验证失败，之后只能等。 ### 域名没备案，能不能先拿到证书？ 用 DNS 验证在技术上可能拿到证书，但没有意义：域名解析到中国大陆服务器而没备案，云厂商会阻断网站访问，客户照样打不开，证书验证本身也常常到不了你的网站。证书解决不了备案问题，也不要尝试绕过。如果服务器在境外包括香港，就不需要 ICP 备案，这也是很多外贸网站的常见做法。 ### 网站用了 Cloudflare，还需要做这些预检吗？ 需要。Cloudflare 负责的是访客到它边缘节点这一段，而预检里查的 A 记录、源站 443 端口、源站证书，都是它到你服务器这一段，两段互不替代。用 Cloudflare 的话还要额外注意一点：加密模式选 Full 或 Full strict，不要用 Flexible，否则源站再强制跳转 https 会出现无限重定向，网站直接打不开。 ## 资料来源与核实记录 | 事实 | 来源 | 核实日期 | |---|---|---| | Let's Encrypt 验证方式（HTTP-01 走 80 端口、DNS-01 用 DNS 记录） | https://letsencrypt.org/docs/challenge-types/ | 2026-10-10 | | Let's Encrypt 频率限制（同一组域名每周 5 次签发、每小时 5 次验证失败） | https://letsencrypt.org/docs/rate-limits/ | 2026-10-10 | | 阿里云帮助中心：未备案域名解析至中国内地服务器将被阻断 | https://help.aliyun.com/zh/icp-filing/basic-icp-service/support/for-the-record-domain-faq | 2026-10-10 | | Google 公共 DNS 查询页（可查 A / AAAA / CAA / NS 记录） | https://dns.google/ | 2026-10-10 | | Cloudflare 加密模式（Flexible 与 Full / Full strict 的区别） | https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/ | 2026-10-10 | | Certbot 官方安装向导（Linux / Nginx / Apache） | https://certbot.eff.org/instructions | 2026-10-10 | | 宝塔面板官方文档：网站 SSL 证书部署（含面板安全页放行端口） | https://docs.bt.cn/user-guide/site/php/site-config/ssl/ | 2026-10-10 | | cPanel 文档：SSL/TLS Status（AutoSSL）与 CAA 记录限制 | https://docs.cpanel.net/cpanel/security/ssl-tls-status/ | 2026-10-10 | | win-acme 入门（Windows IIS：绑定主机名与 80/443 放行） | https://www.win-acme.com/manual/getting-started | 2026-10-10 | ## 更新记录 - 2026-10-12 · v1.0：上线：7 项预检清单（可勾选交互版，勾选状态存本地）、80/443 两道门放行指引、DNS 生效与备案说明、常见坑表。