90%的宝塔SSL续签失败源于http-01验证基础环节异常：80端口未对外放行或.well-known/acme-challenge/目录不可写、不可访问；需检查云服务器安全组、本地防火墙、Nginx配置、伪静态/反代规则、CDN模式，并清除缓存、重建验证目录。
宝塔面板 SSL 证书续签失败，90% 不是证书问题，而是 http-01 验证卡在了最基础的环节：80 端口不通，或 .well-known/acme-challenge/ 目录不可写、不可访问。
检查 80 端口是否真正对外开放
别只看本地 netstat -tuln | grep :80 或宝塔里显示“Nginx 正常运行”——Let’s Encrypt 是从公网发起请求的，必须确保它能连上你的 80 端口。
- 云服务器（阿里云/腾讯云/华为云）：登录控制台，在「安全组」规则中确认入方向已放行 TCP 80 端口（源 IP 可设为
0.0.0.0/0） - 本地防火墙：执行
ufw status（Ubuntu）或firewall-cmd --list-ports（CentOS），确保 80 在列表中；若没开，运行ufw allow 80或firewall-cmd --add-port=80/tcp --permanent && firewall-cmd --reload - 验证方式：在任意公网机器（如另一台 VPS）执行
curl -I http://你的域名/，返回HTTP/1.1 200 OK或301才算通；如果报Connection refused或超时，说明端口没通到 Nginx
确认 .well-known/acme-challenge/ 能被公开访问
Let’s Encrypt 会向 http://你的域名/.well-known/acme-challenge/xxx 发起 GET 请求。这个路径必须可读、不跳转、不拦截。
- 先检查目录是否存在且可写：
ls -ld /www/wwwroot/你的站点/.well-known，若提示No such file or directory，手动创建：mkdir -p /www/wwwroot/你的站点/.well-known/acme-challenge，并授权：chown -R www:www /www/wwwroot/你的站点/.well-known - 检查 Nginx 配置是否屏蔽了该路径：进入站点设置 →「配置文件」，搜索
location ~ /\.well-known或deny all，把整段相关规则删掉或注释掉（标准 HTTP-01 验证必须允许该路径裸露） - 伪静态或反向代理可能劫持请求：在「伪静态」或「反向代理」设置里，确认没有规则匹配
/.well-known/或/\.well-known/开头的 URI；如有，临时禁用再试 - 验证是否生效：在浏览器或终端访问
http://你的域名/.well-known/，应返回403 Forbidden或404 Not Found（有响应即表示路径可达）；若直接跳转到 HTTPS 或 502，说明被重写或代理拦截了
清除缓存与强制重建验证环境
宝塔内置逻辑会复用旧缓存和残留文件，导致续签反复踩同一个坑。
- 进站点「SSL」页，点击右上角「清除 SSL 缓存」——这会删掉
/www/server/panel/vhost/cert/你的域名/下的fullchain.pem和privkey.pem，避免旧密钥干扰 - 删除旧验证目录：
rm -rf /www/wwwroot/你的站点/.well-known，然后重启 Nginx：bt 7，让宝塔下次续签时自动重建干净的.well-known/acme-challenge - 不要依赖面板上“强制续签”按钮：它只是触发一次封装调用，底层仍走原有逻辑；更可靠的是先清缓存+删目录+重启 Nginx，再点一次
最常被忽略的一点：CDN。哪怕你只开了 Cloudflare 的 DNS 解析（灰色云），只要没在 CDN 后台明确设成「DNS only」模式，它的代理层就可能拦截 .well-known 请求或缓存 404。续签前务必切到 DNS only，成功后再切回。这不是可选项，是必选项。
