宝塔面板不原生支持单站点多域名各配独立SSL证书，因UI仅允许一套证书配置且会覆盖手动添加的server块；需手动复制HTTPS server块并分别指定域名与证书路径，同时注意证书权限、路径规范及CDN场景下须在CDN侧单独配置证书。
宝塔面板本身不原生支持单站点下多个域名各自绑定不同 SSL 证书（即 SNI 多证书），但可通过修改 Nginx 配置实现，本质是手动拆分 server 块。直接在面板 UI 上操作会覆盖或冲突，必须绕过「一键启用 SSL」逻辑。
为什么宝塔默认不支持一个站点配多个证书
宝塔的「站点设置 → SSL」页面只允许为该站点指定一套 ssl_certificate 和 ssl_certificate_key，底层生成的 Nginx 配置里只有一个 server 块监听 443 端口。而 SNI 要求每个域名对应独立的 server 块，并各自声明证书路径。
- 面板保存 SSL 设置时会重写整个 HTTPS server 段，覆盖你手动添加的其他域名配置
- 「其他证书」功能只是预存证书文件，不自动创建多 server 块
- 勾选「强制 HTTPS」后，80 端口的 server 块也会被改写，可能破坏你自定义的跳转逻辑
手动添加多 server 块：修改 /www/server/panel/vhost/nginx/xxx.conf
这是唯一稳定生效的方式。你需要在站点主配置文件中，**手动复制一份完整的 HTTPS server 块**，然后单独修改域名和证书路径。
- 找到配置文件：
/www/server/panel/vhost/nginx/你的域名.conf - 定位到已有 HTTPS 的
server { listen 443 ssl; ... }块 - 复制整个
server块（含listen 443 ssl、server_name、ssl_certificate等）并粘贴在下方 - 修改新块中的
server_name为你第二个域名（如blog.example.com） - 修改新块中的
ssl_certificate和ssl_certificate_key路径，指向你为该域名准备的.crt和.key文件（建议统一放/www/server/panel/vhost/cert/二级域名/下） - 确保两个
server块的listen 443 ssl行都存在，且不加default_server
改完后执行 nginx -t && nginx -s reload 测试并重载，不要点面板里的「重载配置」——它可能回滚你的修改。
证书文件存放与路径注意事项
宝塔对证书路径没硬性要求，但路径写错会导致 Nginx 启动失败，错误日志里会明确报 SSL_CTX_use_PrivateKey_file("xxx.key") failed 或类似信息。
- 证书文件权限必须是
600（chmod 600 /path/to/your.key），否则 Nginx 拒绝加载 - 路径中不要用中文、空格或特殊符号；推荐全英文路径，例如
/www/server/panel/vhost/cert/blog.example.com/fullchain.pem -
ssl_certificate必须是完整证书链（即 fullchain.pem 或 bundle.crt），不能只放 domain.crt；ssl_certificate_key是私钥文件 - 如果用了 Let’s Encrypt 的
acme.sh自动续签，注意它的证书路径默认不在宝塔习惯目录里，需同步软链或改配置
CDN 场景下多证书完全无效
如果你的域名接入了 CDN（腾讯云 CDN、Cloudflare 等），用户实际连接的是 CDN 节点，不是你的服务器。此时你在宝塔上配再多证书也没用——CDN 根本看不到你的 Nginx 配置。
- 必须去 CDN 控制台单独上传并绑定对应域名的证书
- CDN 上的证书也必须匹配访问的 Host，否则浏览器提示「证书名称不匹配」
- 若 CDN 开启了「强制 HTTPS」或「HTTP 回源」，还要确认源站（即你的宝塔服务器）是否开放 443 端口、是否允许 HTTPS 回源
- 常见误判：本地 curl 测试正常，但手机访问报证书错误——大概率是 CDN 没配证书或缓存了旧证书
真正需要多证书的场景，几乎都卡在 CDN 这一层。先确认流量是否直连服务器，再折腾 Nginx 配置。
