--- title: 路线 E：SaaS 建站平台（Shopify / Wix / WordPress.com）证书指南 url: https://www.paibaowork.com/ssl/deploy/saas/ last_verified: 2026-10-12 version: v1.0 --- ## 一句话结论 **如果你的网站建在 Shopify、Wix、WordPress.com 这类 SaaS 建站平台上，证书是平台自动、免费提供的——你不需要、也不应该另外花钱买。** 平台帮你管着服务器和访客端的加密，你要做的只有两件事：**把自定义域名正确连上平台**，以及**在证书一直显示「待处理」时按下面的步骤排查**。 | 平台 | 官方说法（2026-10 核对） | 去哪里看 | |---|---|---| | Shopify | 自动为 myshopify.com、在 Shopify 购买的域名以及连接的第三方域名签发免费证书；第三方域名可能需要最多 48 小时 【官】 | 后台 → 设置（Settings）→ 域名（Domains） | | Wix | 所有 Wix 站点都免费包含 SSL 证书，连接的自定义域名也提供；Wix 不支持第三方证书 【官】 | 域名连接后自动生效；帮助中心「About SSL and HTTPS」 | | WordPress.com | 所有托管的域名和子域名自动提供免费 SSL，并自动跳转 https，你不需要购买或设置任何东西 【官】 | 无需设置；帮助中心「Secure Your Domain With SSL」 | | 国内外贸 SaaS（Shopline、店匠等） | 一般也自动提供，但本指南未逐一核实 【判断】 | 查看平台帮助中心或问客服 | > [!TIP] 专业词一句话解释 > **SaaS 建站平台**：你只管内容、服务器和证书都由平台负责的建站服务。**自定义域名**：你自己买的域名（如 `www.你的域名`），要「连接」到平台才能用。**待处理 / Pending**：平台还在等 DNS 生效或验证通过，证书还没签下来。 ## 为什么平台上的证书不用买 1. **证书由平台统一签发**：平台在自己那一侧向证书机构批量申请，发给所有客户的站点，成本由平台承担。 2. **第三方接触不到平台服务器**：网站的服务器在平台手里，外部服务商无法登录平台后台替你「装证书」，所以「收费帮你装 SSL」在 SaaS 平台上根本无从下手。 3. **浏览器只认「有效 / 无效」**：免费证书和付费证书的加密强度没有区别，地址栏的样子也一样。不存在「金融级证书才安全」这回事。 > [!WARNING] 在 SaaS 平台上没有「装证书」这门生意 > 如果网站在 Shopify/Wix 这类平台上，有人说要收费「帮你安装 SSL 证书」，基本可以判定是不必要的收费——证书由平台负责，第三方也接触不到平台的服务器。遇到这种情况，先按本页第 2 节自己排查，或者直接问平台客服。 ## 第一步：确认证书到底有没有 用最省事的三种办法，一分钟内看清： 1. **浏览器看**：打开 `https://你的域名`，点地址栏左侧图标 → 看是否写着「连接是安全的」和「证书有效」，并记下到期日。 2. **命令行看**：在 Windows 打开「命令提示符」、Mac 打开「终端」，运行 `curl -vI https://你的域名`，看是否有 `SSL certificate verify ok`。 3. **在线看**：到 `https://www.ssllabs.com/ssltest/` 输入域名，能看到证书信息和评级（目标 A 或 A+）。 如果地址栏显示「不安全」、网址还是 `http://`，或者证书到期日已经过去——先别急着找服务商，按下面第 2 节排查，绝大多数是域名连接或 DNS 的问题。 ## 第二步：证书一直「待处理 / Pending」怎么办 这是 SaaS 平台上**最常见**的问题，按顺序做完基本都能解决： 1. **一字不差地核对 DNS 记录**：按平台的「连接域名」说明核对（通常是一条指向平台的 **A 记录** + 一条 www 的 **CNAME**）。少一个字符、多点一个点、把 `@` 写成 `www`，都会让验证失败。 2. **删除指向旧网站的 A 记录和 AAAA 记录**：一个域名同时指向两个地方，平台无法确认域名归你，就会一直待处理。**AAAA（IPv6）记录最容易被漏掉**，务必一起删。 3. **检查 CAA 记录**：如果域名上设置过 CAA 记录，确认它允许平台使用的证书机构；不允许的话证书签不下来。用 `nslookup -type=CAA 你的域名` 查看。 4. **确认 DNSSEC 没有捣乱**：某些情况下，已签名的 DNSSEC 会影响域名验证，平台会提示你先处理它（Wix 的排查文档就把它列为一步）【官】。 5. **等待 24～48 小时**：DNS 生效和平台重试都需要时间，第三方域名的证书签发通常最多要 48 小时。 6. **还不行就找平台客服**：把「域名、你核对过的 DNS 记录、SSL Labs 的检测结果截图」一起发给客服，问题定位会快很多。 > [!NOTE] 换了 DNS 服务商怎么办 > 如果你把域名的 DNS 托管换到了别处（例如换到 Cloudflare），连接记录也要**在新服务商那边重建**。旧服务商的记录不会跟着走，漏掉哪条，证书就卡在哪条上。 ## 第三步：如果平台就是不给证书，走 Cloudflare 少数平台的免费档不包含自定义域名的证书，或者你用的是自建站/自托管产品，这时不必买证书，可以走 **Cloudflare** 免费版：把域名的 NS 改到 Cloudflare，由 Cloudflare 给访客端签发并自动续期边缘证书，全程不碰平台服务器，只需要改域名的 DNS 服务器。 ![【示意图】Cloudflare：添加域名 → 选免费计划 → 检查 DNS → 获取两个名称服务器](/ssl/images/guide/m06_cf_addsite.png) 要点只有三条： 1. **逐条核对 DNS 记录**，特别是邮箱的 MX 记录，别在切换 NS 时把企业邮箱弄丢。 2. **加密模式选 Full (strict)**（源站要有有效证书）；不要用 Flexible，否则源站再强制 https 会出现无限重定向。 3. **打开「始终使用 HTTPS」**，让访客端统一走 https。 完整的 Cloudflare 接入与 NS 切换步骤见〔路线 D：Cloudflare，规划中〕，这里只做提示。 ## 哪些钱不该花（SaaS 平台版） | 有人这样收钱 | 该不该付 | 为什么 | |---|---|---| | 「帮你安装 SSL 证书」，几百到几千元 | ❌ 不该付 | 平台自动免费提供，第三方碰不到平台服务器 | | 「金融级 / 军工级证书」，2500 元 | ❌ 不该付 | 不是任何标准里的术语，是营销说法；免费 DV 证书加密强度一样 | | 「帮你把域名连上平台」，按次收费 | ⚠️ 看情况 | 如果只是照平台的连接说明填 DNS 记录，自己做即可；如果包含 DNS 迁移、邮箱保障等，可以谈服务费 | | 「证书到期提醒 / 续期服务」，按年收费 | ⚠️ 看情况 | 平台自动续期；你要的其实是「出问题时的应急处理」，那是服务，不是证书 | ## 自查清单（打勾） | # | 检查项 | 合格标准 | |---|---|---| | 1 | 平台是否支持免费证书 | 在平台帮助中心搜「SSL / HTTPS」，确认免费提供 | | 2 | 自定义域名是否已连接 | 平台后台显示域名「已连接 / 已激活」，不是「待处理」 | | 3 | DNS 记录是否逐条核对 | A 记录 + www 的 CNAME 与平台说明一字不差 | | 4 | 是否删掉旧的 A / AAAA 记录 | 域名不再指向旧服务器 | | 5 | CAA 记录是否允许平台证书机构 | 无 CAA，或包含平台使用的机构 | | 6 | 是否已等待足够时间 | 第三方域名最多 48 小时 | | 7 | 装好后是否确认跳转 | `http://` 自动跳到 `https://` | | 8 | 到期日是否记录 | 记下到期日，并设一个到期监控兜底 | ## 平台管着证书，你还要做什么 平台帮你管证书，但有两件事仍要自己盯： 1. **确认 http 真的跳到了 https**：SaaS 平台通常会自动处理，但换过域名或改过设置后，最好用「四种网址」各试一次（带 www / 不带 www × http / https）。 2. **设置一个到期监控兜底**：即使是平台自动续期，也建议自己设一个提醒——因为 Let's Encrypt 已停止发送到期提醒邮件（2025-06-04 起），任何一方出问题，你都要第一时间知道。做法见[装好之后必做的 6 件事](/ssl/deploy/after-deploy/)。 > [!TIP] 不确定自己的网站是不是 SaaS 平台 > 用命令 `curl -sI https://你的域名` 看 `server:` 响应头：出现 `x-shopify` 之类字样说明是 Shopify；也可以打开 `https://dns.google/resolve?name=你的域名&type=A` 看 IP 是不是指向平台。拿不准就把平台后台截图发给客服问。 ## 常见问题 ### 网站建在 Shopify 上，需要另外买 SSL 证书吗？ 不需要。Shopify 为 myshopify.com、在 Shopify 购买的域名以及连接的第三方域名自动免费签发证书，第三方域名通常最多 48 小时内完成。你去后台的设置里看域名状态即可，不需要也不应该另外购买。 ### 有人说收钱帮我安装 SSL 证书，该付吗？ 在 Shopify、Wix 这类平台上基本不该付。证书由平台统一签发，网站的服务器在平台手里，第三方无法登录平台后台替你装证书，所以这个服务无从下手。如果对方说的是「域名连接、DNS 迁移、出问题时的应急处理」，那属于服务费，可以谈，但要问清楚具体交付什么。 ### 证书一直显示「待处理」，最常见的原因是什么？ 按出现频率排：DNS 记录与平台说明不一致（少一个字符或多一个点）；域名上还有指向旧网站的 A 记录或 AAAA 记录，平台无法确认域名归你；设置过限制性的 CAA 记录；DNSSEC 已签名导致验证受阻。把这四项处理掉，再等 24 到 48 小时，绝大多数都会自动签发成功。 ### 为什么一定要删掉 AAAA 记录？ AAAA 是 IPv6 地址记录，很多人在换网站时只删了 A 记录，忘了还有 AAAA。域名同时指向新旧两个地方时，平台的验证请求可能落到旧服务器上，于是证书一直卡在待处理。到 DNS 管理后台把旧的 A 和 AAAA 一起删掉，是最容易被忽略又最常见的一步。 ### 平台说免费证书，为什么我看到地址栏还是不安全？ 先分清两种情况：一是证书还没签发下来（域名待处理），二是证书有了但页面里还混着 http:// 的图片或脚本，属于混合内容。前者按本页六步排查，后者按开发者工具的 Console 里 Mixed Content 提示逐个把资源改成 https。两种都会让浏览器显示不安全。 ### 平台不给自定义域名的证书，我又不想买证书，怎么办？ 走 Cloudflare 免费版：把域名的 DNS 服务器改到 Cloudflare，由 Cloudflare 给访客端签发并自动续期的边缘证书，全程不需要碰平台服务器。接入时逐条核对 DNS 记录（尤其邮箱的 MX），加密模式选 Full strict，并打开始终使用 HTTPS。 ## 资料来源与核实记录 | 事实 | 来源 | 核实日期 | |---|---|---| | Shopify：为所有域名免费签发 TLS 证书，第三方域名最多 48 小时 | https://help.shopify.com/en/manual/domains/managing-domains/secure-connections | 2026-10-10 | | Wix：所有站点免费包含 SSL 证书，也提供给自定义域名；不支持第三方证书 | https://support.wix.com/en/article/about-ssl-and-https | 2026-10-10 | | Wix：证书排查步骤（核对 DNS、等待传播、确认 DNSSEC 未签名等） | https://support.wix.com/en/article/troubleshooting-your-ssl-certificate | 2026-10-10 | | WordPress.com：所有托管域名自动提供免费 SSL 并自动跳转 https | https://wordpress.com/support/domains/https-ssl/ | 2026-10-10 | | Let's Encrypt 到期提醒邮件服务已结束（源材料记为 2025-06-04 起停止） | https://letsencrypt.org/2025/06/26/expiration-notification-service-has-ended.html | 2026-10-10 | | Cloudflare 加密模式（Flexible / Full / Full strict） | https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/ | 2026-10-10 | | Cloudflare 始终使用 HTTPS（Always Use HTTPS） | https://developers.cloudflare.com/ssl/edge-certificates/additional-options/always-use-https/ | 2026-10-10 | ## 更新记录 - 2026-10-12 · v1.0：上线：路线 E（SaaS 建站平台）单页指南，含平台对照表、证书「待处理」六步排查、不该花的钱清单与 Cloudflare 兜底。