路线 E：SaaS 建站平台（Shopify / Wix / WordPress.com）证书指南

一句话结论

如果你的网站建在 Shopify、Wix、WordPress.com 这类 SaaS 建站平台上，证书是平台自动、免费提供的——你不需要、也不应该另外花钱买。

平台帮你管着服务器和访客端的加密，你要做的只有两件事：把自定义域名正确连上平台，以及在证书一直显示「待处理」时按下面的步骤排查。

为什么平台上的证书不用买

1. 1. 证书由平台统一签发：平台在自己那一侧向证书机构批量申请，发给所有客户的站点，成本由平台承担。
2. 2. 第三方接触不到平台服务器：网站的服务器在平台手里，外部服务商无法登录平台后台替你「装证书」，所以「收费帮你装 SSL」在 SaaS 平台上根本无从下手。
3. 3. 浏览器只认「有效 / 无效」：免费证书和付费证书的加密强度没有区别，地址栏的样子也一样。不存在「金融级证书才安全」这回事。

第一步：确认证书到底有没有

用最省事的三种办法，一分钟内看清：

1. 1. 浏览器看：打开 https://你的域名，点地址栏左侧图标 → 看是否写着「连接是安全的」和「证书有效」，并记下到期日。
2. 2. 命令行看：在 Windows 打开「命令提示符」、Mac 打开「终端」，运行 curl -vI https://你的域名，看是否有 SSL certificate verify ok。
3. 3. 在线看：到 https://www.ssllabs.com/ssltest/ 输入域名，能看到证书信息和评级（目标 A 或 A+）。

如果地址栏显示「不安全」、网址还是 http://，或者证书到期日已经过去——先别急着找服务商，按下面第 2 节排查，绝大多数是域名连接或 DNS 的问题。

第二步：证书一直「待处理 / Pending」怎么办

这是 SaaS 平台上最常见的问题，按顺序做完基本都能解决：

1. 1. 一字不差地核对 DNS 记录：按平台的「连接域名」说明核对（通常是一条指向平台的 A 记录 + 一条 www 的 CNAME）。少一个字符、多点一个点、把 @ 写成 www，都会让验证失败。
2. 2. 删除指向旧网站的 A 记录和 AAAA 记录：一个域名同时指向两个地方，平台无法确认域名归你，就会一直待处理。AAAA（IPv6）记录最容易被漏掉，务必一起删。
3. 3. 检查 CAA 记录：如果域名上设置过 CAA 记录，确认它允许平台使用的证书机构；不允许的话证书签不下来。用 nslookup -type=CAA 你的域名 查看。
4. 4. 确认 DNSSEC 没有捣乱：某些情况下，已签名的 DNSSEC 会影响域名验证，平台会提示你先处理它（Wix 的排查文档就把它列为一步）【官】。
5. 5. 等待 24～48 小时：DNS 生效和平台重试都需要时间，第三方域名的证书签发通常最多要 48 小时。
6. 6. 还不行就找平台客服：把「域名、你核对过的 DNS 记录、SSL Labs 的检测结果截图」一起发给客服，问题定位会快很多。

第三步：如果平台就是不给证书，走 Cloudflare

少数平台的免费档不包含自定义域名的证书，或者你用的是自建站/自托管产品，这时不必买证书，可以走 Cloudflare 免费版：把域名的 NS 改到 Cloudflare，由 Cloudflare 给访客端签发并自动续期边缘证书，全程不碰平台服务器，只需要改域名的 DNS 服务器。

要点只有三条：

1. 1. 逐条核对 DNS 记录，特别是邮箱的 MX 记录，别在切换 NS 时把企业邮箱弄丢。
2. 2. 加密模式选 Full (strict)（源站要有有效证书）；不要用 Flexible，否则源站再强制 https 会出现无限重定向。
3. 3. 打开「始终使用 HTTPS」，让访客端统一走 https。

完整的 Cloudflare 接入与 NS 切换步骤见〔路线 D：Cloudflare，规划中〕，这里只做提示。

哪些钱不该花（SaaS 平台版）

自查清单（打勾）

平台管着证书，你还要做什么

平台帮你管证书，但有两件事仍要自己盯：

1. 1. 确认 http 真的跳到了 https：SaaS 平台通常会自动处理，但换过域名或改过设置后，最好用「四种网址」各试一次（带 www / 不带 www × http / https）。
2. 2. 设置一个到期监控兜底：即使是平台自动续期，也建议自己设一个提醒——因为 Let's Encrypt 已停止发送到期提醒邮件（2025-06-04 起），任何一方出问题，你都要第一时间知道。做法见装好之后必做的 6 件事。