宝塔面板单站点不支持原生绑定多个ssl证书，本质是伪需求；实际需通过手动编辑nginx配置，为每个域名单独定义server块并指定对应证书路径，且须停用面板ssl自动管理以防覆盖。
宝塔面板单站点配多个SSL证书，本质是伪需求
宝塔本身不支持为同一个 server_name 绑定多张证书——它没有提供“按请求域名动态切换证书”的 UI 或逻辑。所谓“单站点多个证书”，实际是指：该站点绑定了多个域名（如 example.com、www.example.com、shop.example.com），而你希望每个域名用各自独立的证书（而非一张 SAN 证书）。这在 Nginx 层面可行，但在宝塔 UI 中无法直接配置，必须绕过面板手动干预。
常见错误现象包括：no matching server name、浏览器提示“证书与域名不匹配”、访问 shop.example.com 却返回 example.com 的证书。
- 宝塔的「SSL」页签只允许一个证书绑定到一个站点，且会强制覆盖所有
server_name - 即使你在「域名管理」里加了 5 个域名，只要没在「SSL」页签里重新申请或指定证书，Nginx 配置中仍只写死一套
ssl_certificate路径 - 手动复制 server 块并改
server_name+ssl_certificate是可行路径，但每次宝塔自动重写配置（如修改 PHP 版本、开启防火墙）都会被覆盖
真正有效的做法：用 Nginx 多 server 块模拟“单站点多证书”
核心思路不是让一个 server 块加载多证书，而是为每个需独立证书的域名，单独定义一个 server 块，并确保它们监听同一端口（443）、共享 root 和 PHP 配置，仅证书路径和 server_name 不同。
操作前先停用宝塔对该站点的 SSL 自动管理：进「网站」→ 点击站点 → 「SSL」→ 点「关闭」（去掉绿勾），避免后续被覆盖。
- 编辑配置文件：
/www/server/panel/vhost/nginx/your-site.conf - 保留原
server块（对应主域名，如example.com），把它的ssl_certificate指向该域名证书路径 - 在下方新增一个
server块，listen 443 ssl http2、server_name shop.example.com，ssl_certificate换成/www/server/panel/vhost/cert/shop.example.com/fullchain.pem，其余配置（root、location、PHP 处理等）完全复制上一个块 - 确保两个块都包含
ssl_protocols TLSv1.2 TLSv1.3和兼容的ssl_ciphers，否则旧客户端可能握手失败 - 执行
nginx -t && systemctl reload nginx，不要只点宝塔里的「重载配置」
acme.sh 手动签发后，宝塔不认新证书路径怎么办
宝塔硬编码只读取 /www/server/panel/vhost/cert/站点主域名/ 下的证书。如果你用 acme.sh --issue -d shop.example.com 把证书生成到了 /root/.acme.sh/shop.example.com/，Nginx 配置里即使写了正确路径，也会因权限或 SELinux（如有）导致加载失败。
- 把新证书复制进宝塔认可目录：
cp /root/.acme.sh/shop.example.com/fullchain.cer /www/server/panel/vhost/cert/shop.example.com/fullchain.pem，同理复制shop.example.com.key为privkey.pem - 修复权限：
chown www:www /www/server/panel/vhost/cert/shop.example.com/*.pem - 别忘了更新证书的所属用户组，否则 Nginx 工作进程（www 用户）读不了
- 如果用了 DNS API 验证，确保
acme.sh --renew后也同步复制，或写个简单脚本自动搬运
泛域名证书不能覆盖主域名，这个坑很多人踩
用 *.example.com 证书配 example.com 访问时，Nginx 不报错，但浏览器会提示“证书不匹配”。因为 RFC 要求通配符只匹配一级子域，example.com 必须显式出现在证书的 SAN 列表中。
验证方式：openssl x509 -in /path/to/cert.pem -text -noout | grep -A1 "Subject Alternative Name"，输出里必须看到 DNS:example.com, DNS:*.example.com 才算完整。
- 用宝塔申请时，在「添加更多域名」里必须手动加上
example.com（即使它是主域名） - 用
acme.sh手动申请时，命令必须包含两个-d：--issue -d example.com -d *.example.com - 宝塔后台「SSL」页签里显示的「绑定域名」列表，必须同时包含这两项，否则点击「绑定域名」时只会选中一个
ssl_certificate 和每张证书的实际内容——没有捷径，也没有“一键修复”。
