宝塔面板 SSL 证书怎么申请？Let's Encrypt、LiteSSL 与自动续签
给站点上 HTTPS，宝塔面板里最省事的路径是：进入 网站 → PHP 项目 → 站点「设置」→ SSL，在「免费证书」里选 Let’s Encrypt 或 LiteSSL，选好证书算法和验证方式后点「申请证书」即可。免费证书有效期 90 天，面板会每天检查并在到期前自动续签，正常情况下全程无需手动干预。
本文讲正常的申请与续签全流程：免费证书怎么选、申请时证书算法和验证方式怎么填、到期自动续签是怎么跑的，以及多台服务器如何共用一张证书。至于「机房屏蔽海外导致 Let’s Encrypt 续签失败」这类异常场景，另见文末的专门文章。
免费证书选哪个：Let’s Encrypt 还是 LiteSSL？
宝塔面板提供两种免费证书品牌，申请入口在同一处，选哪个主要看这几点：
| 对比项 | LiteSSL | Let’s Encrypt |
|---|---|---|
| 运营机构 | 亚数 TrustAsia（中国 CA） | ISRG（美国非营利组织） |
| 推出时间 | 2025 年 10 月 | 2015 年 4 月 |
| 加密算法 | RSA、ECC | RSA、ECC |
| 有效期 | 90 天 | 90 天 |
| IP 证书 | 不支持 | 支持 |
| 自动续签 | 支持 | 支持 |
官方备注：Let’s Encrypt 的有效期计划在 2028 年从 90 天缩短至 45 天。
选择建议：
- 需要 IP 证书：选 Let’s Encrypt（LiteSSL 暂不支持申请 IP 证书）。
- 国内访问为主、追求稳定：选 LiteSSL，它由国内 CA（亚数 TrustAsia）运营，国内访问速度可能更快。
- 无特殊要求：两者功能基本一致，选哪个都可以。
LiteSSL 从宝塔面板 11.5.0 版本开始支持。
怎么申请免费证书？
以站点 SSL 设置为入口：
- 登录宝塔面板，进入 网站 → PHP 项目，找到目标站点，点「设置」。
- 在站点设置里进入 SSL 页，选择「免费证书」标签，点「申请证书」。
- 在申请对话框里依次选择：
- 证书品牌：LiteSSL（推荐，国内访问更稳定）或 Let’s Encrypt（国际通用）。
- 证书算法：RSA2048（兼容性最好，默认推荐）、RSA3072、RSA4096、EC256、EC384。
- 验证方式：根据域名解析情况选择文件验证或 DNS 验证。
- 网站和域名：勾选需要申请的站点与域名。
- 点「申请证书」，等待审核完成，证书会自动部署到站点。
选择 LiteSSL 时，系统会自动完成域名验证并颁发证书，无需手动配置：
证书算法怎么选？
申请免费证书时要选证书算法，宝塔面板提供五种：RSA2048、RSA3072、RSA4096、EC256、EC384。
官方给出的选择建议很直接：
- 追求兼容性：选 RSA2048（也是默认推荐）。
- 追求性能：选 EC256（椭圆曲线，性能更优）。
- 追求更高安全性：选 RSA4096 或 EC384。
有一点要注意：不同算法申请的证书不能直接切换，如果想更换算法，需要重新申请证书。
验证方式：文件验证还是 DNS 验证？
申请时要选验证方式，官方说明是「根据域名解析情况选择文件验证或 DNS 验证」。其中 DNS 验证（DNS-01）适用于泛域名证书：通过 DNS 服务商接口自动认证，首次使用需要在「SSL → 域名管理」里添加 DNS 服务商接口，完成认证后即可自动完成验证。
到期自动续签是怎么跑的？
免费证书有效期 90 天，到期前面板会自动续签，无需手动操作。以 LiteSSL 为例，续签机制是：
- 检查周期：面板每天自动检查证书有效期。
- 续签时机：证书剩余有效期少于 30 天时自动续签。
- 续签方式：后台自动完成替换，不影响网站正常访问。
Let’s Encrypt 同样默认自动续签，支持多域名。证书的到期时间和续签状态，可以在「网站 → SSL」或「面板 SSL 配置」中查看。
多台服务器要部署同一张证书怎么办？
多台服务器要共用一张证书，用 SSL 自动部署功能（面板 9.4.0 及以上）最省事，不需要每台都重新申请。流程分四步：
- 上传云端：在「SSL → 证书管理 → 其他证书」里找到证书，点「上传云端」，等待状态变为「已托管至云端」。
- 创建同步任务：登录宝塔官网后台（与面板账号一致），在「SSL 管理 → 证书自动同步」创建同步任务，生成唯一的同步密钥。
- 创建部署任务：登录目标服务器面板，在「SSL → 自动部署 → 创建」里选择同步任务、填入同步密钥、勾选要部署的网站。
- 接入确认：回到官网后台，点击「接入」，目标服务器会自动应用新证书。
支持多网站批量部署，多台服务器重复第 3、4 步即可，无需重复上传证书。
遇到续签失败怎么办？
正常申请与续签按上面的流程走即可。如果遇到「机房屏蔽海外导致 Let’s Encrypt 证书续签失败」这类网络受限的异常场景，另见专门的文章：《机房屏蔽海外？导致 Let’s Encrypt 证书续签失败的解决方案》。
信息来源
本文事实以宝塔官方文档为准：《宝塔面板 SSL 证书申请与管理》、《网站 SSL 证书部署》、《LiteSSL 免费证书申请教程》、《SSL 域名与 DNS 接口管理》、《SSL 证书自动部署》。
常见问题
免费证书选 Let's Encrypt 还是 LiteSSL？
两者功能基本一致，都是免费、有效期 90 天、支持自动续签。区别在于：LiteSSL 由国内 CA（亚数 TrustAsia）运营，国内访问速度可能更快，但暂不支持申请 IP 证书；Let's Encrypt 由美国非营利组织 ISRG 运营，使用更广泛，支持 IP 证书。需要 IP 证书选 Let's Encrypt，国内访问为主选 LiteSSL。
免费证书有效期多久？到期会自动续签吗？
免费证书有效期 90 天，默认会自动续签。以 LiteSSL 为例，面板每天自动检查证书有效期，剩余少于 30 天时自动续签，后台完成替换，不影响网站正常访问。
申请免费证书失败一般是什么原因？
最常见是域名解析问题——证书申请需要域名验证，要确保域名已正确解析到服务器 IP；其次是 80 端口没开放、域名格式写错（带了 http:// 前缀）等。按这三项排查即可。
证书算法 RSA 和 EC 怎么选？
追求兼容性选 RSA2048（默认推荐），追求性能选 EC256，追求更高安全性选 RSA4096 或 EC384。注意不同算法申请的证书不能直接切换，更换算法需要重新申请。
免费证书能申请泛域名证书吗？
可以，泛域名证书通过 DNS 验证（DNS-01）申请。首次使用需要在「SSL → 域名管理」里添加 DNS 服务商接口，完成认证后即可申请。
多台服务器要部署同一张证书怎么办？
用 SSL 自动部署功能（面板 9.4.0 及以上）：先把证书「上传云端」，再到官网后台创建同步任务生成同步密钥，最后在每台目标服务器创建部署任务并接入即可，无需重复上传证书。