宝塔面板申请免费 SSL 证书教程：Let’s Encrypt 配置 HTTPS

网站搭建完成后，除了要能正常打开，还需要给网站添加 SSL 证书，让浏览器通过 HTTPS 加密访问。今天这篇教程继续以宝塔面板为基础，介绍如何使用宝塔面板申请免费 SSL 证书，并通过 Let’s Encrypt 证书给网站开启 HTTPS。

对于不熟悉 Linux 命令的新手来说，手动配置 SSL 证书会比较麻烦。有了宝塔面板以后，申请证书、部署证书、开启强制 HTTPS 都可以在后台完成。下面就按实际操作步骤，介绍宝塔面板申请免费 SSL 证书的方法。

一、申请 SSL 证书前先确认域名和网站状态

在宝塔面板申请 SSL 证书前，先确认域名已经解析到当前服务器 IP，并且网站可以通过域名正常访问。如果域名没有解析到这台 VPS，或者服务器防火墙拦截了相关端口，Let’s Encrypt 证书申请可能会失败。

申请前建议先确认下面几项：

• 域名已经解析到当前服务器 IP；
• 宝塔面板里已经添加了对应网站；
• 网站可以通过域名正常访问；
• 服务器 80 和 443 端口没有被防火墙或安全组拦截；
• 如果使用 CDN、301 跳转或反向代理，申请失败时需要检查解析、端口和站点配置。

如果你还没有准备好建站 VPS，可以先根据网站程序、访问量、数据库占用和后续扩展需求选择套餐。SSL 证书本身不会占用太多资源，但网站运行还要考虑 CPU、内存、硬盘和线路表现，建站前可以先参考 搬瓦工搭建网站选择什么样的 VPS 配置才够使用？。

如果宝塔面板里还没有添加网站，需要先进入“网站”页面，点击“添加站点”，填写需要申请 SSL 证书的域名，并选择对应的 PHP 版本。这里不需要展开建站流程，添加完成后再进入站点设置页面申请 SSL 证书即可。

在宝塔面板添加站点时，填写需要申请 SSL 证书的域名，并选择对应 PHP 版本

需要注意，Let’s Encrypt 免费 SSL 证书是给域名签发的，不是给服务器 IP 签发的。如果网站还没有绑定域名，需要先准备一个正式使用的域名，并把域名解析到当前 VPS，然后再通过宝塔面板申请 SSL 证书。

另外，SSL 证书是绑定域名使用的，不是直接给服务器 IP 签发。一个 VPS 可以绑定多个域名，也可以给不同站点分别申请 SSL 证书。如果你还不清楚搬瓦工 VPS 的 IP 规则，可以先查看 搬瓦工是独立 IP 吗？搬瓦工 VPS 能不能额外增加 IP 地址？。

二、进入宝塔面板网站 SSL 设置页面

网站添加完成后，进入对应站点的设置页面，点击左侧菜单中的“SSL”。新版宝塔面板会在 SSL 页面中提供当前证书、商业 SSL 证书、免费证书、证书夹等选项。这里我们要申请免费 SSL 证书，所以切换到“免费证书”，然后点击“申请证书”。

进入宝塔面板站点 SSL 页面后，切换到免费证书选项，点击申请证书开始配置 Let’s Encrypt

如果页面提示当前站点未开启 SSL 证书访问，这是正常的。因为此时还没有给网站部署证书，后面完成 Let’s Encrypt 证书申请后，状态会变成已部署 SSL。

三、使用宝塔面板申请 Let’s Encrypt 免费 SSL 证书

在“申请免费证书”窗口中，品牌选择 Let’s Encrypt。验证方式可以选择“文件验证”，这种方式适合域名直接解析到当前 VPS 的网站。然后勾选需要申请宝塔面板 SSL 证书的域名，点击“申请证书”。

在申请免费证书窗口中，选择 Let’s Encrypt 和文件验证，勾选域名后点击申请证书

这里的几个选项简单说明一下：

• 品牌：选择 Let’s Encrypt；
• 验证方式：普通网站可以选择文件验证；
• 域名：勾选需要开启 HTTPS 的域名；
• 申请证书：确认无误后点击申请。

点击申请后，宝塔面板会自动创建订单，并在网站目录下生成验证文件，用来确认这个域名是否已经解析到当前服务器。验证通过后，Let’s Encrypt 会签发证书，宝塔面板会自动把证书部署到当前站点。

申请 Let’s Encrypt 证书

如果申请成功，SSL 页面会显示“当前证书 – 已部署 SSL”，并显示证书分类、认证域名、证书品牌和到期时间等信息。确认信息正常后，点击页面右下角的“保存”按钮，把当前证书配置保存到站点中。

Let’s Encrypt 证书申请成功后，确认当前证书已部署 SSL，并点击保存完成证书配置

Let’s Encrypt 免费证书有效期约 3 个月，宝塔面板会自动尝试续签。后面只要域名解析、网站目录、80/443 端口和站点配置没有异常，宝塔证书自动续签一般不需要手动处理。

四、开启 HTTPS 访问和强制 HTTPS

SSL 证书申请成功后，网站已经可以通过 HTTPS 访问。不过在没有开启强制 HTTPS 的情况下，用户可能仍然可以通过 HTTP 打开网站。为了让访问更统一，可以在宝塔 HTTPS 设置中开启强制 HTTPS。

在 SSL 页面找到“强制 HTTPS”开关，将它打开。开启后，访问 HTTP 地址时会自动跳转到 HTTPS 地址。

在宝塔面板 SSL 页面开启强制 HTTPS 后，网站访问会自动跳转到 HTTPS 加密地址

开启强制 HTTPS 后，建议在浏览器中打开网站域名，确认网站是否可以正常通过 HTTPS 访问。如果浏览器地址栏显示 HTTPS，并且页面能正常打开，说明网站 HTTPS 配置已经生效。

网站开启 HTTPS 后，可以在浏览器中确认页面能通过加密地址正常访问

如果打开 HTTPS 后网站无法访问，可以先回到宝塔面板检查 443 端口是否放行，再检查站点 SSL 配置是否保存成功。如果网站使用了 CDN，还要检查 CDN 后台的 SSL 模式和回源设置，避免浏览器访问正常但源站配置不一致。

需要注意，SSL 证书解决的是 HTTPS 加密访问问题，不会直接改善线路速度。如果网站已经能通过 HTTPS 打开，但国内访问仍然慢，问题可能出在线路、机房或本地网络上，使用 CN2 GT 线路的用户可以参考 搬瓦工 CN2 GT 线路速度慢的原因以及相对应的解决办法。

五、宝塔 SSL 续签失败的常见原因

宝塔面板申请免费 SSL 证书并不复杂，真正容易出问题的地方，多数出现在域名解析、端口、防火墙、CDN 和站点配置上。如果后面遇到宝塔 SSL 续签失败，可以优先检查下面几项。

1. 域名解析没有指向当前服务器

Let’s Encrypt 需要验证域名是否指向当前服务器。如果域名解析到了其它 IP，或者之前接入过 CDN、EdgeOne、Cloudflare 等服务，文件验证可能无法正确访问到宝塔生成的验证文件。

这种情况下，可以先确认域名 A 记录是否指向当前 VPS。如果只是为了测试宝塔面板申请免费 SSL 证书，建议先让测试域名直连 VPS，不要开启 CDN 代理。

2. 80 或 443 端口没有放行

申请和访问 SSL 证书时，80 和 443 端口都很重要。如果服务器安全组、防火墙或宝塔防火墙拦截了端口，证书申请、续签或 HTTPS 访问都可能失败。

遇到问题时，可以先检查服务器后台安全组，再检查宝塔面板安全设置，确认 80 和 443 端口允许访问。

如果域名解析、端口放行和宝塔 SSL 设置都没有问题，但网站仍然无法访问，也要排查 VPS 主 IP 是否正常。有些情况下，网站打不开并不是 SSL 证书的问题，而是 IP 访问异常，可以参考 如何避免搬瓦工IP地址被封的一些事项，先确认服务器 IP 本身是否可用。

3. 网站使用了 CDN 或强制跳转

使用 CDN、301 跳转、反向代理后，访问路径会多一层。如果 CDN 缓存了旧文件，或者回源地址不对，Let’s Encrypt 文件验证可能失败。

这种情况不是说 CDN 一定不能用，而是申请证书或自动续签失败时，要把 CDN、回源、缓存、强制跳转一起进行检查。为了减少问题，可以先关闭代理，让域名直接解析到 VPS，申请成功后再恢复 CDN 设置。

4. 网站目录或验证文件无法访问

文件验证会在网站目录下生成验证文件。如果网站目录权限异常、站点根目录设置错误，或者访问验证文件被拦截，也会导致证书申请失败。

在宝塔面板里添加站点时，根目录和域名要对应。不要把域名添加到错误目录，也不要随意删除网站目录下的验证文件。

5. 证书过期提醒和自动续签状态没有检查

宝塔面板申请 Let’s Encrypt 证书后，可以在 SSL 页面查看到期时间。虽然宝塔会自动尝试续签，但站点长期使用时，还是建议偶尔检查一次证书状态，尤其是改过 DNS、CDN、端口、防火墙以后。

如果发现证书快到期，或者浏览器提示证书异常，可以回到宝塔 SSL 页面检查是否能手动续签，并根据错误提示排查原因。

六、总结

以上就是宝塔面板申请免费 SSL 证书的完整流程。整体步骤可以概括为：先确认域名解析和网站状态，再进入宝塔面板网站设置，打开 SSL 页面，选择 Let’s Encrypt 免费证书，使用文件验证申请证书，最后开启强制 HTTPS 并在浏览器中测试访问。

对于普通网站来说，宝塔面板 SSL 证书功能已经够用。新手只要确认域名解析正确、网站能打开、80 和 443 端口没有被拦截，就可以通过宝塔面板完成 Let’s Encrypt 证书申请和网站 HTTPS 配置。

后续如果遇到宝塔 SSL 续签失败，不要急着删除站点或重新安装环境，先检查域名解析、CDN 状态、防火墙端口、网站目录和证书到期时间。多数问题都可以从这些地方找到原因。