WordPress 用什么 SSL 证书

对几乎所有 WordPress 网站来说，最好的 SSL 证书就是主机已经提供的免费证书。WordPress.com 自动签发 Let's Encrypt 证书，cPanel 的 AutoSSL 默认用 Let's Encrypt，宝塔面板在网站设置里就能申请，自己的服务器用 certbot 或 acme.sh 也一样。只有主机装不了免费证书、多站点网络需要通配符或多域名证书、或者有人要求证书里写公司名时，才需要花钱。

2026 年 11 月 10 日核实到最便宜的付费 DV 证书是 Namecheap Standard SSL，首年 $11.00。价格于当天在卖家官网核实，经常变动，一切以商家结账页为准。推荐结论不受佣金影响。

不同 WordPress 场景该用什么证书

单个 WordPress 站点用免费 DV 证书就够；多站点和企业身份要求才会改变答案。

付费证书不会让 WordPress 本身更安全，它改变的只是由谁为这个域名担保，以及附带的保险金、客服和公司名称。

先用主机提供的免费证书

大多数主机和服务器已经能免费签发 Let's Encrypt 证书：

• WordPress.com： 官方支持页面写明，它为托管的所有域名和子域名自动提供 Let's Encrypt 免费证书，而且不能关闭 SSL，什么都不用买。
• 用 cPanel 的虚拟主机： AutoSSL 会自动安装 DV 证书，cPanel 文档写明默认使用 Let's Encrypt。操作见 cPanel 安装 SSL；主机用 Plesk 的话见 Plesk 安装 SSL。
• 宝塔面板： 在站点设置的 SSL 页选 Let's Encrypt，勾选域名后申请即可，默认会自动续签。网站开了 CDN 或强制跳转时，文件验证容易失败，按宝塔文档改用 DNS 验证。
• 自己的 VPS 不用面板： 用 certbot 或 acme.sh 配合 Nginx、Apache，见 Nginx 配置 Let's Encrypt 和 Apache 配置 Let's Encrypt。

Let's Encrypt 明确表示证书不收费，所以花钱只有两个理由：主机条件受限，或者需要企业验证。

什么时候 WordPress 需要付费证书

只有下面四种情况值得为 WordPress 买证书。

主机提供不了免费证书。 如果你的主机方案装不了 ACME 证书，又暂时换不了主机，就买一张能装上去的最便宜 DV 证书：Namecheap Standard SSL $11.00、PositiveSSL $16.00 或 RapidSSL $18.65。记住至少每 200 天要重签并重新安装一次。

子域名形式的多站点。 每建一个新站点就多一个子域名，*.example.com 这样的通配符证书能覆盖还没建的站点。付费 DV 通配符最低 $84.00；Let's Encrypt 免费通配符要用 DNS-01 验证，DNS 服务商需要有 API，DNSPod 和阿里云 DNS 都可以对接 acme.sh。详见最便宜的通配符证书。

绑定独立域名的多站点。 每个绑定的域名都要写进证书。域名不多时可以用多域名证书，多了就每个域名单独申请免费证书，更好管理。

合作方要求 OV 或 EV。 银行、支付机构或招标方可能会提这个要求。最便宜的 OV 是 Sectigo InstantSSL，$32.80；最便宜的 EV 是 Namecheap EV SSL，$76.99。网店的具体要求见电商网站 SSL 证书怎么选。

把 WordPress 正确切换到 HTTPS

装好证书只完成了一半，WordPress 本身也要改用 https:// 地址。

1. 用“站点健康”。 WordPress 5.7 起，“工具 → 站点健康”会检测服务器是否支持 HTTPS，并提供一键切换按钮，同时修改“WordPress 地址”和“站点地址”；切换后如果 WordPress 无法通过 HTTPS 访问站点，会自动改回去。
2. 让 WordPress 修正旧链接。 切换后，WordPress 5.7 及以上版本会在输出内容时把本站的 http:// 地址实时替换成 HTTPS，前提是两个地址用的是同一个域名。
3. 强制后台和登录走 HTTPS。 在 wp-config.php 里加上：

define( 'FORCE_SSL_ADMIN', true );

4. 在 Web 服务器上做 HTTP 到 HTTPS 的跳转，见 HTTP 跳转到 HTTPS；一切正常后再考虑开启 HSTS。宝塔用户可以直接在 SSL 设置里打开“强制 HTTPS”；宝塔文档提醒，开启前要确认站点没有另外做 301 跳转（伪静态或 JS 跳转），云服务器的安全组也要放行 443 端口，否则 HTTPS 打不开。
5. 排查遗留的混合内容，比如写死在主题或文章里的 http 图片、脚本，可以用我们的混合内容扫描工具，相关报错见混合内容警告。

放在 CDN、负载均衡或其他代理后面

如果代理负责 TLS，再用 HTTP 把请求转给 WordPress，WordPress 会以为请求不安全；开了 FORCE_SSL_ADMIN 后就可能出现无限重定向。WordPress 文档给出的办法是在 wp-config.php 里信任代理转发的协议头：

if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && strpos( $_SERVER['HTTP_X_FORWARDED_PROTO'], 'https' ) !== false ) {
    $_SERVER['HTTPS'] = 'on';
}

只有服务器只能通过代理访问时才这样做，否则任何人都能伪造这个请求头。用 Cloudflare 的话，不要选 Flexible 模式，它让 Cloudflare 到源站这一段不加密，详见 Cloudflare 免费 SSL 和付费证书怎么选。国内 CDN 回源时也有类似的“回源协议”设置，原理相同：能用 HTTPS 回源就别用 HTTP。

续期：付费证书的隐性成本

2026 年 3 月 15 日起，公网 TLS 证书单张最长 200 天；2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费的“1 年”或“多年期”证书都是订阅，期内要多次重签，每次都得到主机面板里重新安装。AutoSSL、WordPress.com、宝塔和 certbot 提供的免费证书会自动续期，不用你操心，这正是它们最适合 WordPress 的原因。