宝塔面板全站HTTPS部署实操全流程 自动续期兼容各类访问场景

前置准备

操作前请确认满足以下所有条件，避免后续步骤卡壳：

• 宝塔面板版本≥7.9.0，旧版本存在SSL自动续期bug，可通过面板首页点击「更新」一键升级到最新版
• 待部署的域名已经添加A/AAAA记录解析到当前服务器公网IP，TTL设置为300即可，解析生效时间一般1-10分钟
• 云服务商安全组、宝塔系统防火墙均已放行80（HTTP）、443（HTTPS）端口入站规则，源IP选择0.0.0.0/0

第一步：SSL证书申请与部署

1.1 免费Let's Encrypt证书申请（推荐，支持自动续期）

普通单域名/多域名场景优先选择该方案，证书有效期90天，开启自动续期后无需手动维护，操作步骤如下：

1. 登录宝塔面板，左侧菜单栏点击「网站」，找到对应站点点击「设置」按钮
2. 左侧导航栏选择「SSL」选项，切换到「Let's Encrypt」标签页
3. 勾选所有需要覆盖的域名（根域名、www域名均需单独勾选，避免访问子域名时报错）
4. 强制勾选「自动续期」选项，验证方式默认选择「文件验证」即可
5. 点击「申请」按钮，等待1-3分钟即可完成证书下发与部署

如果需要申请泛域名证书（.xxx.com），验证方式选择「DNS验证」，按照页面提示在域名解析商后台添加对应的TXT记录，待记录生效后再点击申请即可。

1.2 付费证书上传部署

如果是采购的DV/OV/EV级付费证书，按以下步骤操作：

1. 进入站点设置的「SSL」页面，切换到「其他证书」标签页
2. 把证书提供商给出的PEM格式证书内容完整粘贴到「证书(PEM格式)」输入框，不要删减任何字符
3. 把对应的私钥KEY内容完整粘贴到「密钥(KEY)」输入框
4. 点击「保存」按钮完成证书部署

第二步：全站HTTPS规则配置

2.1 全局强制HTTPS跳转

证书部署完成后，在当前「SSL」页面找到「强制HTTPS」开关，点击开启，宝塔会自动生成301永久跳转规则，所有HTTP访问会自动跳转到HTTPS路径，对SEO友好。

可选配置HSTS：在SSL页面找到「HSTS」选项，勾选开启，max-age设置为31536000（1年），同时勾选「includeSubDomains」覆盖所有子域名，开启后浏览器会默认使用HTTPS访问该域名所有路径，避免跳转劫持。

2.2 混合内容报错修复

如果部署完成后浏览器地址栏仍显示不安全标识，是因为页面内存在HTTP协议的静态资源（图片、CSS、JS等），按对应服务器类型添加配置即可自动修复：

Nginx服务器：进入站点设置→「配置文件」，在server代码块中插入以下规则后保存：

``` add_header Content-Security-Policy "upgrade-insecure-requests"; ```

Apache服务器：进入站点根目录，编辑.htaccess文件，插入以下规则后保存：

``` Header always set Content-Security-Policy "upgrade-insecure-requests" ```

该规则会自动将页面内所有HTTP请求升级为HTTPS请求，无需手动修改站点内的资源链接。

第三步：关联场景HTTPS配置

3.1 宝塔面板自身HTTPS配置

避免面板访问时出现HTTP明文传输风险，按以下步骤配置：

1. 左侧菜单栏点击「面板设置」，找到「面板SSL」选项
2. 输入已经解析到服务器的面板专用域名，点击「申请证书」
3. 勾选「自动重启面板」选项，保存后等待1分钟即可生效

配置完成后后续需使用HTTPS+域名的方式访问宝塔面板，IP+端口的HTTP访问方式会自动失效。

3.2 CDN场景适配

如果站点开启了CDN服务，需在CDN控制台完成以下配置：

• 在CDN控制台上传和服务器端相同的SSL证书，或者开启CDN的免费SSL证书功能
• 开启CDN侧的「强制HTTPS」开关，回源协议选择「HTTPS」
• 关闭CDN的HTTP/HTTPS分缓存规则，统一使用HTTPS路径缓存资源

3.3 多站点批量配置

如果有多个站点需要同步部署HTTPS，可批量操作：在「网站」页面勾选所有需要部署的站点，点击顶部「批量操作」按钮，选择「部署SSL」，选择Let's Encrypt并勾选自动续期，即可一键完成所有站点的证书申请与部署。

第四步：效果验证与问题排查

4.1 生效验证

完成所有配置后按以下步骤验证是否正常：

1. 访问http://你的域名，确认会自动跳转到https://开头的地址，跳转状态码为301
2. 点击浏览器地址栏的锁形标识，查看证书有效期和颁发机构，确认是你部署的证书
3. 浏览站点所有页面，确认没有不安全标识，所有资源加载正常

4.2 常见问题排查

• 证书申请失败：检查80、443端口是否在云服务商安全组、宝塔防火墙都放行，确认域名解析已生效，申请前暂时关闭CDN避免验证请求被拦截
• 访问提示证书无效：检查当前访问的域名是否在证书覆盖范围内，比如只申请了根域名，访问www域名就会报错，申请时需勾选所有需要使用的域名
• 页面仍显示不安全标识：确认已添加upgrade-insecure-requests规则，清理浏览器缓存和CDN缓存后再访问，同时检查站点是否有硬编码的HTTP外链资源
• 证书到期未自动续期：检查面板是否开启了自动续期，确认80端口没有被占用或拦截，可手动点击SSL页面的「续期」按钮手动触发