宝塔面板内置SSL插件已深度集成Let’s Encrypt，底层调用acme.sh并封装图形界面与自动任务，避免手动安装acme.sh引发冲突；文件验证适用于80端口开放的常规站点，DNS验证支持泛域名且需配置DNS API密钥。
宝塔面板配置免费SSL证书并自动续签，用官方「SSL」插件即可完成，无需额外安装第三方工具；DNS验证适合泛域名或无法开放80端口的场景，文件验证更简单但要求网站能正常访问。
为什么选宝塔内置SSL插件而不是acme.sh
宝塔7.7+版本已深度集成Let’s Encrypt支持，SSL插件底层调用的是acme.sh，但做了图形化封装和自动任务绑定。手动装acme.sh反而容易和面板证书管理冲突，导致续签失败或证书未生效。
常见错误现象：证书申请成功但浏览器仍提示不安全，多因Nginx/Apache未重载配置或证书路径未正确写入虚拟主机；自动续签任务存在但未执行，常因系统时间不准、宝塔后台未开启定时任务或证书快过期时才触发检测（默认提前15天）。
- 文件验证（HTTP-01）：需确保网站根目录可被公网访问，且
.well-known/acme-challenge/路径能返回响应 - DNS验证（DNS-01）：需在域名DNS服务商处配置API密钥（如阿里云
Aliyun、腾讯云Qcloud），支持泛域名（*.example.com） - 面板会自动创建
crontab任务，脚本路径为/www/server/panel/pyproject/bin/python调用/www/server/panel/class/acme.py，不要手动修改
文件验证方式：三步完成申请与自动续签
适用于有独立域名、网站已上线、80端口可访问的常规站点。
- 进入「网站」→ 选择目标站点 → 点击「SSL」→「申请证书」→ 勾选「Let’s Encrypt」→ 输入域名（支持多个，用换行或逗号分隔）→ 保持「文件验证」默认选项
- 点击「申请」后，面板自动在网站根目录生成
.well-known/acme-challenge/临时文件，并通过HTTP请求验证所有权 - 申请成功后，面板自动启用HTTPS、重写HTTP跳转规则，并添加每月1日03:00的续签任务（可通过「计划任务」→ 查看「Let’s Encrypt自动续签」确认）
注意：root目录权限需为www:www，否则验证文件无法写入；若使用CDN，需临时关闭或设置「仅对.well-known路径直连源站」。
DNS验证方式：配置API密钥后一键申请泛域名
适合需要*.example.com证书、或服务器无公网80端口（如内网穿透、反向代理前置）的场景。
- 先在DNS服务商获取API密钥：阿里云在「AccessKey管理」，腾讯云在「API密钥管理」，记录
AccessKey ID和Secret - 回到宝塔「SSL」页面 → 点击右上角「设置」→「DNS验证配置」→ 选择服务商 → 填入密钥 →「保存」
- 再次申请证书时，切换验证方式为「DNS验证」，输入
*.example.com即可；面板会自动调用API添加TXT记录，等待60秒左右完成验证
关键点：TXT记录添加后必须等待DNS全球生效（通常1~5分钟），面板不会轮询查询，而是固定等待后直接发起验证；若失败，查看/www/wwwlogs/acme.log中是否报Domain not found或Timeout，大概率是API权限不足或DNS未生效。
续签失败排查与强制重试方法
自动续签不是黑盒，出问题时有明确路径可查。
- 检查系统时间：
date命令确认是否偏差超过3分钟（Let’s Encrypt严格校验） - 查看续签日志：
tail -n 50 /www/wwwlogs/acme.log，重点找renew、error、dns_api等关键词 - 手动触发续签：
python /www/server/panel/class/acme.py --renew=www.example.com（替换为实际域名） - 若证书已过期但网站仍显示旧证书，执行
bt 12（重载Web服务）或进「网站」→「设置」→「SSL」→「启用」再点一次
DNS验证续签失败最常被忽略的一点：API密钥权限变更后，面板不会自动同步，必须重新进「SSL设置」里保存一次，否则续签时仍用旧密钥。
