HTTPS 证书选型与部署：域名覆盖、验证与续期

先写出真正使用的域名

列出根域、www、API 和图片域名，逐一确认覆盖范围。不要因为某个子域能访问，就认为根域及其他子域全部被覆盖。证书身份验证、传输配置和网站业务真实性是不同问题。

验证方式按条件选

Let's Encrypt 的 HTTP-01 需要满足对应 HTTP 验证条件，不能用于通配符；DNS-01 通过相应 DNS 记录验证并可用于通配符。使用自动 DNS 更新时，限定凭据作用范围，不把广泛管理权限直接交给不可信脚本。

部署与续期分别验收

• 核对实际证书中的域名、有效期与链。
• 确认 Web 服务、CDN 或负载均衡上的证书部署位置。
• 根据客户端和托管平台的文档配置自动续期。
• 监测续期结果与实际线上到期时间，而不只看计划任务存在。

申请成功不代表所有访问路径已经使用新证书。不要把某个产品曾经的有效期固定成永久规则，也不要关闭 TLS 验证来掩盖域名不匹配等错误。

常见故障怎么缩小范围

检查域名解析、验证记录、站点路由、证书链、混合 HTTP 资源与回源证书。保留修改前配置和有效证书；HSTS 等更严格策略应在 HTTPS 稳定、回退影响明确后评估，不作为遇错时随意开关的按钮。

要点与资料来源

HTTPS 部署先确认访问域名是否被证书覆盖、验证方式是否可行，再检查证书链和续期。Let's Encrypt 的 HTTP-01 不能签发通配符，DNS-01 可以；DNS 自动化凭据应限制权限。证书价格不是网站安全或真实性的保证，有效期与续期策略按当前产品文档核对。

• Let's Encrypt 的 HTTP-01 不支持通配符证书。
• Let's Encrypt 的 DNS-01 可用于通配符验证。
• DNS 自动化验证需考虑凭据权限与保管。
• 证书验证和续期成功后，仍需实际访问检查域名及证书链。

来源与核验范围

• Let's Encrypt：验证方式：2026-10-02 核对官方公开文档；仅支持文中明确归属的功能和规则。本站建议属于编辑判断，不是独立性能、安全或成本实测。
• Let's Encrypt：常见问题：2026-10-02 核对官方公开文档；仅支持文中明确归属的功能和规则。本站建议属于编辑判断，不是独立性能、安全或成本实测。

编辑：折腾鸭编辑部。2026-10-02 公开资料整理；没有替读者下单、做退款/恢复模拟或独立性能审计。