宝塔面板SSL证书过期更换实操指南 零门槛新手也能一步完成

前期准备

更换SSL证书无需额外工具，你只需要提前准备好两项内容即可：

• 可正常登录的宝塔面板管理员账号密码，能进入面板后台
• 如果是第三方证书，提前准备好新SSL的两个文件内容：证书文件(pem/cer/crt格式)和私钥文件(key格式)；如果是续期宝塔自带的Let's Encrypt免费证书，无需提前准备，宝塔会自动生成。

宝塔端更换证书分两种场景实操

根据你证书的来源，分为「宝塔自动续期免费证书」和「手动上传第三方证书」两种场景，步骤都很简单，对应操作即可：

场景一：续期宝塔自带Let's Encrypt免费证书（最常用）

这是个人站点最常用的方式，证书过期后直接在面板操作即可，步骤如下：

• 1. 登录宝塔面板后台，点击左侧菜单栏中的网站选项，进入站点管理页面
• 2. 找到需要更换SSL证书的域名，点击域名右侧的设置按钮，进入对应站点的配置页面
• 3. 在配置页面顶部导航栏，点击切换到SSL选项卡，进入SSL证书配置界面
• 4. 页面会显示当前证书已过期的提示，如果原有证书就是宝塔签发的Let's Encrypt证书，直接点击续签按钮
• 5. 弹出确认弹窗后，确认需要绑定的域名全部勾选正确（泛域名证书需确认解析已配置），点击确认申请
• 6. 等待10-30秒，面板会弹出「证书申请成功」的提示，此时证书已经完成更换，最后点击开启强制HTTPS（需要跳转HTTPS的站点开启，不需要可忽略）即可。

如果点击续签提示申请失败，可先删除旧证书后重新申请：点击过期证书右侧的删除证书，回到证书类型列表选择「Let's Encrypt」，勾选对应域名后重新点击申请即可。

场景二：手动更换第三方付费/免费证书（阿里云/腾讯云等）

如果你使用的是云厂商颁发的证书，需要手动上传新证书内容，步骤如下：

• 1. 按照上文步骤，进入对应站点的SSL配置页面
• 2. 点击原有过期证书右侧的删除证书，删除旧证书避免配置冲突
• 3. 向下滑动页面，找到其他证书选项，点击进入手动配置界面
• 4. 找到你下载好的新证书压缩包，解压后用系统自带记事本（不要用Word，避免转码错误）打开后缀为.pem/.cer/.crt的证书文件，全选复制所有内容
• 5. 将复制好的证书内容，粘贴到宝塔页面的证书(PEM/CRT格式)输入框中
• 6. 再用记事本打开后缀为.key的私钥文件，全选复制所有内容，粘贴到宝塔页面的私钥(KEY格式)输入框中
• 7. 确认两个输入框内容无误后，点击保存按钮，同样可按需开启「强制HTTPS」开关。

这个步骤最容易出错的细节：必须完整复制证书和私钥，包括开头的--BEGIN CERTIFICATE--和结尾的--END CERTIFICATE--，私钥的开头结尾标识也要完整保留，不能删除，否则会提示证书格式错误。

更换完成后验证证书是否生效

保存配置后一定要做验证，避免配置出错没发现，验证步骤非常简单：

• 1. 打开浏览器，按Ctrl+Shift+N开启隐私模式（避免缓存影响结果），输入你的域名访问网站
• 2. 点击浏览器地址栏左侧的小锁图标，在弹出的菜单中选择「证书」选项
• 3. 查看证书的有效期，确认显示的是新证书的起始和到期时间，就说明更换成功。

常见问题排查

1. 更换后还是显示证书过期

优先排查缓存问题：首先是浏览器缓存，清理浏览器缓存后用隐私模式重新测试；其次如果你的网站使用了CDN加速（比如Cloudflare、阿里云CDN、腾讯云CDN），需要到CDN后台更换新的SSL证书，再刷新全部CDN缓存；最后还是不行的话，到宝塔面板左侧点击「软件商店」，找到你使用的Web服务（Nginx或Apache），点击「重启」，强制加载新证书即可。

2. 申请Let's Encrypt证书提示失败

90%的失败来自两个原因：一是80端口未开放，需要到云服务器后台的安全组开放80端口，同时到宝塔面板的「防火墙」页面添加规则开放80端口；二是域名解析错误，确认你的域名A记录正确指向当前服务器的公网IP，泛域名证书需要确认泛解析A记录配置正确。

3. 提示证书格式错误无法保存

检查三个点：第一，是不是把证书和私钥的内容填反了，证书填到证书框，私钥填到私钥框，不要填错；第二，是不是少复制了开头结尾的标识，或者多了多余的空行，删掉多余空行补全标识即可；第三，是不是用Word打开了证书文件，导致内容转码错误，重新用系统自带记事本打开复制即可。