3.3 域名解析与 SSL 证书自动签发续签

一句话回答

先把域名 A 记录解析到服务器 IP（等 ping 得通），再去面板「证书」模块申请：核心是两个前置账户——ACME 账户和 DNS 账户，配好后勾上「自动续签」，以后证书到期面板自己管。

第一步：域名解析（证书申请的地基）

证书是和域名绑定的，解析没生效，证书申请必然失败。操作：

  1. 登录域名服务商控制台（阿里云、腾讯云、Cloudflare 等）；
  2. 添加 A 记录：主机记录填 www 或 @，记录值填服务器公网 IP，保存；
  3. 等解析生效，验证方式：本地终端 ping www.你的域名.com，看解析出来的 IP 是不是你的服务器 IP。
常见解析问题 现象 解决
解析还没生效 ping 不通或 IP 不对 DNS 生效需要时间，等一会儿再试
记录值填错 解析到别的 IP 改 A 记录
用了 CDN ping 出来是 CDN 的 IP 回源设置里把源站写对你的服务器 IP

第一章 1.3 节提过：国内服务器 + 80/443 建站需要域名完成 ICP 备案——备案是监管要求，和 1Panel 无关，这一步别省。

第二步：两个前置账户

申请证书前，先在面板的「证书」模块里把两个账户建好。

ACME 账户

点证书列表上方的【ACME 账户】创建。官方支持的类型：

ACME 服务 备注
Let's Encrypt 免费证书，最常用
ZeroSSL、Buypass、Google Cloud 可选的其它 ACME 服务
自定义 ACME 服务 需按页面填写目录地址等信息

创建 ACME 账户时填的邮箱用于接收证书相关通知（比如快到期提醒），填一个你常看的邮箱。

DNS 账户

点【DNS 账户】管理。DNS 账户的作用：调用 DNS 服务商的 API，自动添加解析记录来验证域名所有权。官方支持的类型：

阿里云、腾讯云、华为云、GoDaddy、Cloudflare、Vercel、CloudDNS、NameSilo、NameCheap、Name.com、FreeMyIP、雨云、西部数码、ClouDNS、Spaceship、火山引擎、DNSPod（即将废弃）

注意最后那个「DNSPod 即将废弃」——如果你的域名解析在 DNSPod（腾讯云系），建议尽快迁移到「腾讯云」类型的账户配置。每个类型需要什么认证信息，查对应服务商的 API 文档。

第三步：选一种申请模式

三种模式对号入座：

模式 前置条件 优点 缺点
DNS 账户模式 ACME 账户 + DNS 账户 全自动、支持泛域名、能自动续签 域名要在支持的服务商那里
HTTP 模式 ACME 账户 + 80 端口公网可达 不依赖 DNS API 80 端口必须能从公网访问
手动解析模式 ACME 账户 任何域名都能申请 要手动去加解析记录，不能自动续签

怎么选：域名在阿里云/腾讯云/Cloudflare 这些支持列表里 → DNS 账户模式（强烈推荐，一劳永逸）；域名在小众服务商、或者服务器没有公网 80 端口 → 手动解析模式；内网或 443-only 环境 → 手动解析模式。

DNS 账户模式申请步骤

  1. 选择 ACME 账户；
  2. 选择 DNS 账户；
  3. 选择是否自动续签（选是）；
  4. 点确认。

剩下的事面板自动完成：调 API 加 TXT 记录 → 申请证书 → 清理记录。

手动解析模式申请步骤

  1. 选择 ACME 账户；
  2. 点确认，等待返回解析内容；
  3. 去域名服务商解析处添加这段解析内容；
  4. 回来点确认。

第 3 步容易漏：不加解析，验证过不了，证书发不下来。

HTTP 模式申请步骤

  1. 选择 ACME 账户；
  2. 选择是否自动续签；
  3. 点确认。

前提是 80 端口能从公网访问（云安全组放行 + 本机防火墙放行，见 2.3 节）。

第四步：网站启用 HTTPS

拿到证书后，在创建网站时勾「启用 HTTPS」选证书，或者已有网站在 网站 → 配置 → HTTPS 里开。官方的可配置项：

配置项 说明与建议
HTTP 选项 三选一：自动跳转 HTTPS（推荐）/ 允许直接访问 HTTP / 禁止 HTTP 访问
HSTS 开启后强制浏览器以后都走 HTTPS，提升安全性
HTTP3 更快，但不是所有浏览器都支持，开了可能导致部分浏览器无法访问——小站建议先不开
SSL 选项 选现有证书（经 1Panel 证书模块申请）或手动导入（粘贴证书内容或选服务器上的文件）
支持的协议版本 按页面默认即可
加密算法 按页面默认即可

手动导入的场景：你在别处买的商业证书（EV、OV 证书），把证书文件和私钥内容粘进去，或从服务器文件选择。

自动续签：一次配置，长期省心

证书是有有效期的（Let's Encrypt 免费证书有效期较短），过期了网站就会提示「不安全」。续签的规则（官方原文）：

申请方式 能否自动续签
DNS 账户 / HTTP 验证 ✅ 可启用自动续签
手动 DNS 验证 / 手动上传 ❌ 不能自动续签

启用自动续签后，1Panel 会在证书临近到期时自动发起续签。续签依赖持续可用的条件：ACME 账户、DNS 账户或 HTTP 验证路径——域名解析变了、API 凭证失效了、网站配置变了，都可能导致续签失败。

续签失败怎么办：点证书所在行的【申请】可手动触发续签；手动 DNS 类型会显示要添加的解析记录，加完再继续申请。任务状态和错误信息在证书日志或任务日志里看。

续签成功后的两件检查（官方明确要求）：

  1. 确认使用该证书的网站已经加载新证书，从客户端检查到期时间；
  2. 业务侧有 CDN、负载均衡或外部代理时，要同步更新对应入口的证书——面板只管自己这台服务器上的，CDN 那边的证书要你去服务商控制台换。

证书申请失败的常见原因

现象 原因 解决
验证失败 域名解析没生效 先 ping 确认解析到本机
DNS 模式报 API 错误 DNS 账户凭证失效或权限不够 查服务商 API 文档，重新配 DNS 账户
HTTP 模式验证失败 80 端口公网不可达 放行云安全组和本机防火墙的 80
续签失败 解析/凭证/网站配置变了 看证书日志，逐项对号入座

证书列表：你的证书看板

申请完成后，证书列表里能看到每张证书的域名、到期时间和自动续签状态。两个习惯帮你避免「证书过期才发现」：

  • 定期扫一眼到期时间：特别是不能自动续签的证书（手动解析、手动上传的）；
  • 看自动续签开关：官方原话——是否支持自动续签以证书列表开关状态为准。开关关着的，到期前自己手动点【申请】续签。

一句话总结：解析是地基，ACME/DNS 账户是工具，证书模式是自动挡还是手动挡，自动续签是长期保险。四个东西配齐，HTTPS 这件事就一劳永逸了。配好之后，你就只剩一件事要记：有 CDN 或负载均衡的话，续签后去服务商那边把证书也同步换掉，否则用户看到的还是旧证书。

一个实用建议：给证书设个「双保险」

  • 自动续签虽然省心，但别完全拿来当唯一保障。建议：在面板告警里配上邮件通知（2.2 节），证书续签失败、网站异常时你能收到邮件；
  • 每次网站大改（换域名、换服务器 IP）后，顺手检查一下证书状态。

本节要点

  • 顺序：域名解析生效 → 建 ACME 账户 + DNS 账户 → 申请证书 → 网站启用 HTTPS；
  • ACME 服务推荐 Let's Encrypt（免费），DNS 账户支持阿里云、腾讯云、Cloudflare 等主流服务商（DNSPod 类型即将废弃）；
  • 三种申请模式：DNS 账户（首选，全自动可续签）、HTTP（80 端口可达时）、手动解析（兜底，不能自动续签）；
  • 网站配置 HTTPS：HTTP 跳转建议开，HTTP3 慎开（部分浏览器无法访问）；
  • 自动续签依赖解析和 API 凭证持续可用；续签成功后要检查网站加载新证书，有 CDN 的要同步换。

证书申请的官方说明，见《1Panel 官方文档：功能手册》中的「证书」一章（ACME 账户、DNS 账户、申请方法、续签）。

下一步：网站备份与恢复——建好的站怎么留后悔药。