小皮面板怎么申请免费SSL证书

照着做完，你能在自己的服务器上给网站装上免费 HTTPS 证书，浏览器地址栏出现小锁图标。

第一步：先确认三件事，不满足就别往下走

这一步是排除「申请了也失败」的情况。要确认的是：域名已经解析到这台服务器的公网 IP（在小皮面板「网站」列表里能看到该站点已绑定这个域名）、服务器 80 端口能被外网访问、443 端口没有被占用。

验证方法：在你自己电脑的命令行里执行

ping 你的域名

返回的 IP 必须和服务器公网 IP 一致。再执行 telnet 你的域名 80，能连上说明 80 端口通。

注意：Let's Encrypt 的免费证书默认走 HTTP 验证，必须能通过 80 端口从公网访问到你的站点。如果服务器在家庭宽带、内网、或者 80 端口被运营商封了，这一步会卡死，请直接跳到第六步用「手动上传证书」的办法。

第二步：找到 SSL 设置入口

这一步要打开目标站点的 SSL 配置页。以小皮面板 Windows 版 V8 界面为例：打开面板主界面，点左侧菜单的「网站」，在站点列表里找到你的域名，点该行最右侧的「管理」按钮，弹出「网站设置」窗口后，点顶部标签栏里的「SSL」。

Linux 版小皮面板路径基本一致：左侧「网站」→ 站点右侧「设置」→「SSL」。

这个页面通常分成两块：「证书申请」（自动申请）和「证书导入 / 手动配置」（粘贴证书内容）。

第三步：用面板自带的 Let's Encrypt 申请

这一步做完，证书就自动签发并部署好了。在「SSL」标签页的「证书申请」区域：证书类型选 Let's Encrypt，勾选你要签发的域名（一般勾不带 www 的主域名和带 www 的那条），点「申请」按钮。面板会自动完成验证、下载证书、写入配置并重载 Web 服务，通常 10～60 秒。

看到状态变成「已开启」或证书到期时间显示为 90 天后的日期，就成功了。

注意：申请过程中不要关闭面板窗口。如果提示「验证失败」，八成是 80 端口不通或域名解析没生效（DNS 有缓存，刚解析的建议等 10 分钟再试）。

第四步：开启强制 HTTPS 并验证

在同一个「SSL」页面，找到「强制 HTTPS」开关，打开它。作用是：用户访问 http:// 时自动 301 跳到 https://。

然后打开浏览器访问 https://你的域名，点地址栏左边的锁图标，能看到证书颁发者是 Let's Encrypt、有效期 90 天，就算完成。

顺便检查一下：如果站点里还有写死的 http:// 图片或接口地址，浏览器会报「混合内容」警告，需要改成相对路径或 https://。

注意：开启强制 HTTPS 后如果网站打不开，先在服务器上确认 443 端口已放行（Windows 防火墙 / 云服务器安全组都要放）。

第五步：续签问题

Let's Encrypt 证书只有 90 天有效期。小皮面板一般会在到期前自动续签（通常在剩余 30 天左右触发），前提是 80 端口仍然可用、域名解析没变。

建议每两个月手动打开面板看一眼证书到期时间。如果显示快到期又没自动续，点一下「续签」按钮，或重新走一遍第三步。

第六步：申请失败？改用其他免费证书手动上传

如果 80 端口确实用不了，可以走 DNS 验证或第三方免费证书：

1. 到腾讯云 / 阿里云的 SSL 证书控制台，申请免费 DV 证书（DNS 验证，不需要 80 端口）。
2. 签发后下载「Nginx」格式的压缩包，解压得到 .crt（或 _bundle.crt）和 .key 两个文件。
3. 回到小皮面板的「SSL」标签页，用文本编辑器打开这两个文件，把内容分别粘贴到「证书（CRT/PEM）」和「私钥（KEY）」输入框，点「保存」。
4. 同样打开「强制 HTTPS」开关。

注意：.key 是私钥，不要发给任何人、不要贴到公开的聊天群里。粘贴时用记事本打开、全选复制，不要漏掉开头的 -----BEGIN 和结尾的 -----END 行。

小结

• 前提是域名解析正确、80 端口对公网开放，否则 Let's Encrypt 一定失败。
• 入口：左侧「网站」→ 站点「管理 / 设置」→「SSL」标签页。
• 一键申请选 Let's Encrypt，勾选域名后点「申请」，成功后打开「强制 HTTPS」。
• 证书 90 天有效，靠面板自动续签，但每两个月要人工确认一次。
• 80 端口不通就用云厂商免费 DV 证书 + DNS 验证，手动粘贴 CRT 和 KEY。