1panel申请证书失败为啥及常见原因排查教程

在 1Panel 中为网站启用 HTTPS 时，证书申请失败往往不是因为某个按钮没点对，而是域名解析、验证方式、网络端口或账户配置之间存在不匹配。理解面板中各个功能区域的作用，能帮助我们更准确地找到断点。

1Panel 证书管理页面，展示 ACME 账户列表与申请入口

概述

1Panel 的证书管理主要涉及两个入口：一是左侧菜单的【证书】页面，用于统一管理和申请 ACME 证书；二是【网站】页面中具体站点的 SSL 设置，用于绑定已申请的证书。申请过程的核心在于向 CA 机构证明你对域名的控制权，这通常通过 DNS 记录或 HTTP 文件验证来实现。

关于【ACME 账户】

进入【证书】页面后，首先需要关注的是 ACME 账户区域。这是向 Let's Encrypt 或 ZeroSSL 等机构发起申请的“身份凭证”。如果列表中没有可用账户，或者创建账户时提示网络错误，后续的证书申请流程将无法启动。

需要注意的是，ACME 账户与 DNS 账号是完全独立的两部分。ACME 账户负责与证书颁发机构通信，而 DNS 账号负责操作域名解析记录。不要混淆两者的用途，确保 ACME 账户状态显示为正常。

关于【ACME 账户】

关于【域名列表】

在申请新证书的表单中，域名填写是第一步。这里输入的域名必须与你实际想要保护的网站地址完全一致，包括主域名和子域名。

常见的错误包括：

• 域名前后多余的空格。
• 误加了 http:// 或 https:// 协议前缀。
• 填写了未解析到当前服务器的域名。

证书验证只关心域名控制权，不关心面板本身是否能通过 IP 访问。在提交申请前，建议先在本地使用 ping 命令确认域名已解析到当前服务器的公网 IP。

关于【DNS 账号模式】

DNS 验证模式适合无法开放 80 端口或希望自动化管理的场景。选择此模式时，需要在 1Panel 的【DNS 账号】区域提前配置好对应服务商（如阿里云、腾讯云、Cloudflare）的 API 密钥。

DNS 账号配置区域，显示服务商选择与 API 密钥输入框

如果申请失败，请重点检查以下三点：

1. 权限范围：配置的 API 密钥是否拥有修改目标域名 DNS 记录的权限。
2. 服务商匹配：选择的 DNS 账号服务商是否与域名实际的托管商一致。如果域名在 A 处注册，但在 B 处解析，应选择 B 处的账号。
3. 域名层级：确保账号能管理到你填写的具体子域名区域。

关于【手动解析模式】

如果不方便配置 API，可以选择手动解析模式。点击申请后，1Panel 会生成一条特定的 TXT 记录值。你需要登录域名控制台，手动添加这条记录，等待生效后再回到面板点击“验证”。

此模式失败的主要原因通常是记录未生效或填写错误。注意有些 DNS 控制台会自动补全域名后缀，添加时不要重复填写根域名。此外，DNS 传播需要时间，刚添加后立即点击验证可能会因缓存问题导致失败，建议等待几分钟后再试。

关于【HTTP 验证模式】

HTTP 验证模式要求服务器能够通过公网 80 端口被访问。CA 机构会向你的域名发送一个 HTTP 请求，以确认你控制着该服务器。

选择此模式时，必须确保：

• 域名已正确解析到当前服务器 IP。
• 服务器的 TCP 80 端口对公网开放。
• Web 服务（如 OpenResty/Nginx）正在监听 80 端口，且未被其他规则拦截验证请求。

如果网站已经强制跳转 HTTPS，可能需要暂时允许 HTTP 访问，以便完成验证。

关于【防火墙和安全组】

网络连通性是 HTTP 验证失败的高发区。1Panel 内置的防火墙只是其中一环，云服务器的安全组和系统内部的防火墙（如 firewalld、ufw）同样起作用。

排查顺序建议如下：

1. 检查云平台安全组，确认入方向允许 TCP 80 端口。
2. 检查 1Panel 【安全】-【防火墙】页面，确认 80 端口已放行。
3. 如果使用了 IPv6，还需检查 AAAA 记录及对应的 IPv6 防火墙规则。

只有当外部网络能顺利访问 http://你的域名 时，HTTP 验证才能成功。

关于【防火墙和安全组】

关于【网站和 SSL 区域】

证书申请成功后，最后一步是在【网站】页面中绑定它。打开对应网站的配置，进入【SSL】标签页，选择刚才申请成功的证书并保存。

如果浏览器仍显示旧证书或提示不安全，请检查：

• 是否选中了正确的证书文件。
• 网站配置是否已重新加载。
• 绑定的域名是否与证书包含的域名一致。

关于【自动续签】

在申请时勾选“自动续签”可以省去后续麻烦，但这依赖于验证环境的稳定性。如果后续更改了 DNS 服务商、关闭了 80 端口或修改了 API 密钥，自动续签可能会失败。建议定期检查证书有效期，或在变更网络配置后手动测试一次续签流程。

遇到失败提示时，仔细阅读面板给出的错误日志，它通常会指出是 DNS 权限问题、网络连接超时还是域名解析错误。根据提示回到对应的区域进行调整，通常就能解决问题。

关于【自动续签】