let’s encrypt 证书申请失败主因是验证请求未抵达服务器：需确认dns全球生效、安全组开放80端口、nginx显式放行.well-known路径、libcurl版本≥7.58.0、清除残留缓存与验证文件，并临时关闭cdn/waf/ipv6。
域名解析没生效，Let’s Encrypt 根本连不到你的服务器
证书申请卡在“正在验证”或直接报“域名解析错误”，第一反应不是宝塔有问题，而是 Let’s Encrypt 的验证请求压根没抵达你的机器。它会从海外节点发起 HTTP 请求访问 http://yourdomain.com/.well-known/acme-challenge/xxx，如果 DNS 还没全球生效、或者只绑了 example.com 没绑 www.example.com，它就会失败。
- 用
dig +short yourdomain.com和dig +short www.yourdomain.com确认两者都返回你服务器的公网 IP；只返回一个？立刻去宝塔【网站】→【域名管理】里补上缺失的那个 - 执行
ping yourdomain.com，看是否通且 IP 正确；如果超时或返回错误 IP，别急着重试证书，先等 DNS 缓存刷新（通常 10 分钟～2 小时） - 云服务器（阿里云/腾讯云）必须检查安全组——
80端口入方向规则得开着，光开443不行，HTTP-01 验证只走80
Nginx 拦截了 .well-known 路径，验证文件存在但访问 404
你手动创建了 /www/wwwroot/your-site/.well-known/acme-challenge/test.txt，也确认路径权限是 755，但在浏览器打开 http://yourdomain.com/.well-known/acme-challenge/test.txt 却返回 404 或 403——大概率是 Nginx 配置里写了 location ~ \. 或 location ~ /\.|\.php$ 这类正则，把 .well-known 当隐藏目录给屏蔽了。
- 打开站点配置文件：
/www/server/panel/vhost/nginx/yourdomain.com.conf，搜.well-known，如果没有显式放行块，就加一段：
location ^~ /.well-known/acme-challenge/ {
default_type text/plain;
root /www/wwwroot/yourdomain.com;
}
location / 内的 return 301 https://... 或反向代理规则，验证阶段不能跳转 HTTPSnginx -t && systemctl reload nginx，再用 curl -I http://yourdomain.com/.well-known/acme-challenge/test.txt 测试是否返回 200
libcurl 版本太低或路径混乱，acme.sh 静默失败
日志里看不到明显报错，面板卡在“正在验证”，后台却没生成验证文件——很可能是宝塔调用的 acme.sh 因底层 libcurl.so.4 不兼容 ACME v2 协议而直接退出。常见于手动编译过 curl、或装过旧版 Docker/Node 的服务器。
- 运行
ldd /usr/bin/curl | grep curl，看输出是不是指向/usr/lib/x86_64-linux-gnu/libcurl.so.4；如果指向/usr/local/lib/libcurl.so.4，说明用了非系统默认库 - 执行
/usr/bin/curl --version，确认 libcurl 版本 ≥7.58.0；低于这个版本，ACME v2 会握手失败 - 临时重命名冲突库：
mv /usr/local/lib/libcurl.so.4 /usr/local/lib/libcurl.so.4.bak，再跑ldconfig刷新缓存，强制回退到系统标准库
残留缓存和旧验证文件干扰新申请
反复点“免费申请”失败后，letsencrypt.json 可能已损坏，或 .well-known/acme-challenge/ 下留着上一次未清理的 token 文件，导致 Let’s Encrypt 收到重复或过期响应，直接拒绝。
- 停掉对应站点：
bt 8→ 选站点 → 停止；再删配置缓存：rm -f /www/server/panel/config/letsencrypt.json - 清空验证目录：
rm -rf /www/wwwroot/your-site/.well-known/acme-challenge/*（注意替换your-site） - 最后执行
bt 14清面板缓存，再bt restart重启面板服务——别跳这步，很多“重试无效”其实卡在内存缓存里
