Mist Network
Plesk 免费 SSL 证书：Let's Encrypt 分步配置指南
Plesk 只需几次点击即可签发并续期免费的 Let's Encrypt 证书。本文介绍需要提前准备什么、如何保护所有子域名，以及最常见错误的解决方法。
在 Plesk 中获取免费 SSL 证书只需几次点击：Plesk 与 Let's Encrypt 通信，证明你控制该域名，安装证书并在到期前自动续期。完成后网站通过 HTTPS 访问，浏览器不再显示“不安全”，你也可以放心接受登录和付款。
本文介绍开始前需要准备什么、Plesk 中的具体步骤、如何用通配符证书保护子域名、如何正确强制 HTTPS，以及如何解决阻止签发或续期的错误。
SSL 证书的作用
SSL/TLS 证书让浏览器确认它连接的确实是你的服务器，并加密双方之间传输的所有数据。没有证书时，密码、表单数据和 Cookie 以明文传输，浏览器会把页面标记为不安全，HTTP/2 等功能和许多现代浏览器 API 也无法使用。
Let's Encrypt 是一家免费、自动化的证书颁发机构，受所有主流浏览器信任。它签发的域名验证型证书与付费证书的加密强度完全相同。付费证书主要增加组织验证或保险，大多数网站并不需要。
开始前的准备
- 域名已指向主机——主域名和 www 的 A 记录（使用 IPv6 时还有 AAAA）必须解析到 Plesk 服务器 IP。
- DNS 已生效——如果刚修改记录，请等待全球解析生效。我们的 DNS 记录类型指南介绍了 A、AAAA 和 CAA 记录。
- 80 端口可访问——验证时 Let's Encrypt 会通过普通 HTTP 检查一个文件，请勿屏蔽 80 端口。
- 没有冲突的 CAA 记录——如果域名设置了 CAA 记录，其中必须有一条允许 letsencrypt.org。
- 可用的邮箱地址——用于在证书颁发机构注册账户。
如何在 Plesk 中安装免费 SSL 证书
新版 Plesk 通过 SSL It! 扩展管理证书，默认使用 Let's Encrypt。不同版本的菜单名称可能略有差异。
- 打开网站——登录 Plesk，进入 Websites & Domains，选择域名。
- 打开 SSL/TLS Certificates——在域名面板中点击 SSL/TLS Certificates（或 SSL It!）。
- 选择 Let's Encrypt——选择免费的 Let's Encrypt 选项并填写邮箱。
- 选择保护范围——勾选主域名和 www 子域名；如使用 webmail 或 mail 也一并勾选。
- 签发证书——点击 Get it free 或 Install。Plesk 会在几秒内验证域名并安装证书。
- 启用 HTTPS 跳转——在同一页面或 Hosting Settings 中开启 HTTP 到 HTTPS 的永久 301 跳转。
- 检查效果——在浏览器打开 https://你的域名，确认锁形图标正常显示且无警告。
子域名通配符证书
如果子域名很多，*.example.com 这样的通配符证书可以一次覆盖全部。通配符证书通过 DNS 而非 HTTP 验证：颁发机构会要求在 _acme-challenge 下添加一条特殊的 TXT 记录。
| DNS 托管位置 | 通配符验证方式 | 续期 |
|---|---|---|
| Plesk 管理 DNS 区域 | Plesk 自动创建 TXT 记录 | 完全自动 |
| 外部 DNS（如 Cloudflare） | 手动添加 Plesk 提示的 TXT 记录 | 续期时可能需要更新记录 |
| 不需要通配符 | 每个子域名正常 HTTP 验证 | 完全自动 |
如果只有少数几个子域名，签发一张列出各子域名的普通证书通常更简单，续期时也无需手动操作 DNS。
正确强制 HTTPS
证书生效后，让 HTTPS 成为网站唯一的访问方式：
- 只用一个 301 跳转——在 Plesk 服务器层面把 HTTP 跳转到 HTTPS，不要叠加插件跳转，否则可能造成循环。
- 更新网站地址——在 WordPress 或其他 CMS 中把站点地址设为 https://，确保链接和 canonical 标签正确。
- 修复混合内容——通过 http:// 加载的图片、脚本或字体会破坏锁形图标。请更新数据库或主题中写死的地址。
- 考虑启用 HSTS——HTTP Strict Transport Security 会要求浏览器始终使用 HTTPS。由于很难撤销，请在一切正常后再开启。
常见错误及解决方法
- Domain validation failed——域名或 www 尚未指向本服务器，或 DNS 未生效。检查 A 记录后稍后重试。
- Too many requests / rate limit——多次失败尝试触发了 Let's Encrypt 的频率限制。先修复原因，等待一段时间再试。
- CAA 记录阻止签发——添加允许 letsencrypt.org 的 CAA 记录，或删除冲突的记录。
- 验证文件无法访问——.htaccess 规则、防火墙或强制跳转拦截了 /.well-known/acme-challenge/ 路径，请放行。
- 续期失败——通常是 DNS 或服务器变更后出现上述同类问题。Plesk 会提前很久续期，你有足够时间修复。
mistREG Plesk 主机上的 SSL
mistREG 主机账户运行在 LiteSpeed 上的 Plesk，付款后约 60 秒自动开通，面板中即可使用免费的 Let's Encrypt 证书。在这里注册的域名使用托管在 Cloudflare 网络上的 DNS，把域名指向主机和添加 CAA 记录都能在同一面板完成。详见 LiteSpeed Plesk 主机指南。
准备好保护你的网站了吗？注册账户，在套餐页面选择方案，几分钟内签发证书。如有问题，可在 Telegram @mistnetwork 联系我们的团队。
