# WordPress 用什么 SSL 证书最好？免费还是付费（2026）

> WordPress 网站该用哪种 SSL 证书：先用主机或宝塔提供的免费证书，什么时候才需要通配符、多域名或 OV，以及怎么把 WordPress 正确切换到 HTTPS。

Source: https://ssl.sh/zh/compare/best-ssl-for-wordpress/
Last updated: 2026-11-10

对几乎所有 WordPress 网站来说，最好的 SSL 证书就是**主机已经提供的免费证书**。WordPress.com 自动签发 Let's Encrypt 证书，cPanel 的 AutoSSL 默认用 Let's Encrypt，宝塔面板在网站设置里就能申请，自己的服务器用 certbot 或 acme.sh 也一样。只有主机装不了免费证书、多站点网络需要通配符或多域名证书、或者有人要求证书里写公司名时，才需要花钱。

2026 年 11 月 10 日核实到最便宜的付费 DV 证书是 **[Namecheap Standard SSL](https://ssl.sh/zh/certificates/namecheap-standard-ssl/)，首年 $11.00**。价格于当天在卖家官网核实，经常变动，一切以商家结账页为准。推荐结论不受佣金影响。

## 不同 WordPress 场景该用什么证书

单个 WordPress 站点用免费 DV 证书就够；多站点和企业身份要求才会改变答案。

| 你的情况 | 证书类型 | 核实到的最便宜付费方案 | 免费替代 |
|---|---|---|---|
| 单个站点（`example.com` + `www`） | DV | [Namecheap Standard SSL](https://ssl.sh/zh/certificates/namecheap-standard-ssl/)，$11.00 | 主机或宝塔申请 Let's Encrypt |
| 子域名多站点（`site1.example.com`） | 通配符 | GoGetSSL 的 [Sectigo EssentialSSL Wildcard](https://ssl.sh/zh/certificates/essentialssl-wildcard/)，$84.00 | Let's Encrypt 通配符（DNS-01） |
| 绑定独立域名的多站点（`example.net`） | 多域名 | [Namecheap SAN Certificate](https://ssl.sh/zh/certificates/namecheap-san-certificate/)，含 3 个域名 $35.99 | 每个域名一张 Let's Encrypt |
| WooCommerce 网店 | DV 即可，合作方另有要求除外 | 同单个站点 | Let's Encrypt |
| 要显示公司身份的企业官网 | OV | GoGetSSL 的 [Sectigo InstantSSL](https://ssl.sh/zh/certificates/instantssl/)，$32.80 | 无（免费 CA 不签 OV） |

付费证书不会让 WordPress 本身更安全，它改变的只是由谁为这个域名担保，以及附带的保险金、客服和公司名称。

## 先用主机提供的免费证书

大多数主机和服务器已经能免费签发 Let's Encrypt 证书：

- **WordPress.com：** 官方支持页面写明，它为托管的所有域名和子域名自动提供 Let's Encrypt 免费证书，而且不能关闭 SSL，什么都不用买。
- **用 cPanel 的虚拟主机：** AutoSSL 会自动安装 DV 证书，cPanel 文档写明默认使用 Let's Encrypt。操作见 [cPanel 安装 SSL](https://ssl.sh/zh/guides/cpanel-ssl/)；主机用 Plesk 的话见 [Plesk 安装 SSL](https://ssl.sh/zh/guides/plesk-ssl/)。
- **宝塔面板：** 在站点设置的 SSL 页选 Let's Encrypt，勾选域名后申请即可，默认会自动续签。网站开了 CDN 或强制跳转时，文件验证容易失败，按宝塔文档改用 DNS 验证。
- **自己的 VPS 不用面板：** 用 certbot 或 acme.sh 配合 Nginx、Apache，见 [Nginx 配置 Let's Encrypt](https://ssl.sh/zh/guides/nginx-lets-encrypt-certbot/) 和 [Apache 配置 Let's Encrypt](https://ssl.sh/zh/guides/apache-lets-encrypt-certbot/)。

Let's Encrypt 明确表示证书不收费，所以花钱只有两个理由：主机条件受限，或者需要企业验证。

## 什么时候 WordPress 需要付费证书

只有下面四种情况值得为 WordPress 买证书。

**主机提供不了免费证书。** 如果你的主机方案装不了 ACME 证书，又暂时换不了主机，就买一张能装上去的最便宜 DV 证书：Namecheap Standard SSL $11.00、[PositiveSSL](https://ssl.sh/zh/certificates/positivessl/) $16.00 或 [RapidSSL](https://ssl.sh/zh/certificates/rapidssl/) $18.65。记住至少每 200 天要重签并重新安装一次。

**子域名形式的多站点。** 每建一个新站点就多一个子域名，`*.example.com` 这样的通配符证书能覆盖还没建的站点。付费 DV 通配符最低 $84.00；Let's Encrypt 免费通配符要用 DNS-01 验证，DNS 服务商需要有 API，DNSPod 和阿里云 DNS 都可以对接 acme.sh。详见[最便宜的通配符证书](https://ssl.sh/zh/compare/cheapest-wildcard-ssl/)。

**绑定独立域名的多站点。** 每个绑定的域名都要写进证书。域名不多时可以用[多域名证书](https://ssl.sh/zh/compare/cheapest-multi-domain-ssl/)，多了就每个域名单独申请免费证书，更好管理。

**合作方要求 OV 或 EV。** 银行、支付机构或招标方可能会提这个要求。最便宜的 OV 是 Sectigo InstantSSL，$32.80；最便宜的 EV 是 Namecheap EV SSL，$76.99。网店的具体要求见[电商网站 SSL 证书怎么选](https://ssl.sh/zh/compare/best-ssl-for-ecommerce/)。

## 把 WordPress 正确切换到 HTTPS

装好证书只完成了一半，WordPress 本身也要改用 `https://` 地址。

1. **用“站点健康”。** WordPress 5.7 起，“工具 → 站点健康”会检测服务器是否支持 HTTPS，并提供一键切换按钮，同时修改“WordPress 地址”和“站点地址”；切换后如果 WordPress 无法通过 HTTPS 访问站点，会自动改回去。
2. **让 WordPress 修正旧链接。** 切换后，WordPress 5.7 及以上版本会在输出内容时把本站的 `http://` 地址实时替换成 HTTPS，前提是两个地址用的是同一个域名。
3. **强制后台和登录走 HTTPS。** 在 `wp-config.php` 里加上：

```php
define( 'FORCE_SSL_ADMIN', true );
```

4. **在 Web 服务器上做 HTTP 到 HTTPS 的跳转**，见 [HTTP 跳转到 HTTPS](https://ssl.sh/zh/guides/redirect-http-to-https/)；一切正常后再考虑开启 [HSTS](https://ssl.sh/zh/guides/enable-hsts/)。宝塔用户可以直接在 SSL 设置里打开“强制 HTTPS”；宝塔文档提醒，开启前要确认站点没有另外做 301 跳转（伪静态或 JS 跳转），云服务器的安全组也要放行 443 端口，否则 HTTPS 打不开。
5. **排查遗留的混合内容**，比如写死在主题或文章里的 http 图片、脚本，可以用我们的[混合内容扫描工具](https://ssl.sh/zh/tools/mixed-content-scanner/)，相关报错见[混合内容警告](https://ssl.sh/zh/errors/mixed-content-warning/)。

## 放在 CDN、负载均衡或其他代理后面

如果代理负责 TLS，再用 HTTP 把请求转给 WordPress，WordPress 会以为请求不安全；开了 `FORCE_SSL_ADMIN` 后就可能出现无限重定向。WordPress 文档给出的办法是在 `wp-config.php` 里信任代理转发的协议头：

```php
if ( isset( $_SERVER['HTTP_X_FORWARDED_PROTO'] ) && strpos( $_SERVER['HTTP_X_FORWARDED_PROTO'], 'https' ) !== false ) {
    $_SERVER['HTTPS'] = 'on';
}
```

只有服务器只能通过代理访问时才这样做，否则任何人都能伪造这个请求头。用 Cloudflare 的话，不要选 Flexible 模式，它让 Cloudflare 到源站这一段不加密，详见 [Cloudflare 免费 SSL 和付费证书怎么选](https://ssl.sh/zh/compare/cloudflare-ssl-vs-paid-certificate/)。国内 CDN 回源时也有类似的“回源协议”设置，原理相同：能用 HTTPS 回源就别用 HTTP。

## 续期：付费证书的隐性成本

2026 年 3 月 15 日起，公网 TLS 证书单张最长 200 天；2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费的“1 年”或“多年期”证书都是订阅，期内要多次重签，每次都得到主机面板里重新安装。AutoSSL、WordPress.com、宝塔和 certbot 提供的免费证书会自动续期，不用你操心，这正是它们最适合 WordPress 的原因。