免费 HTTPS 为什么申请失败？HTTP-01 与 DNS-01 怎么选

证书申请先验证你控制这个域名

自动申请证书时，证书机构不会因为你填了一个域名就直接签发。ACME 客户端需要完成挑战，证明你能控制相应的网站路径或 DNS 记录。理解这一步，可以把申请失败拆成明确的问题，而不是一直点击重试。

HTTP-01：检查公网 80 端口

HTTP-01 要求验证服务能从公网读取指定挑战路径，使用的是 80 端口。面板自身能打开，不代表网站 80 端口已开放。域名指向旧地址、云平台规则拦截、反向代理转错位置、挑战目录被登录验证挡住，都值得逐项检查。改成任意高位端口不能替代这一要求。

DNS-01：检查记录与权限

DNS-01 通过特定 TXT 记录证明控制权，也可用于通配符证书。自动续期通常需要客户端能更新 DNS，因此应使用权限受限的令牌，并保护好配置文件。手工添加记录虽然能完成一次验证，但后续续期还需要相应操作，不能把首次签发当作维护完成。

签发后还要验证完整访问链路

证书必须覆盖实际使用的主机名，例如根域名和 www。安装后检查浏览器访问、证书链、HTTPS 跳转和页面资源。网站中遗留的 HTTP 图片或脚本可能带来混合内容问题。代理到源站的链路也应配置正确的 TLS 验证，不宜用长期关闭校验来掩盖问题。

把续期作为日常维护

保存申请日志，定期检查自动续期任务和失败通知。验证失败先读日志，再查 DNS、端口与挑战内容。具体证书有效期、频率限制和客户端参数以官方当前文档为准，避免照搬过时教程。

参考资料

• Let’s Encrypt 挑战类型
• Let’s Encrypt 官方文档入口

资料核查：2026年10月7日。本文根据公开官方资料独立整理撰写；封面为 AI 生成的概念插画，不是产品实拍。