Hostinger SSL 证书：Lifetime SSL 安装、失败排查与强制 HTTPS

Hostinger 的 Web 和 Cloud 主机套餐会在域名添加并指向 Hostinger 后，自动安装免费的 Lifetime SSL 证书，通常 1～2 小时完成，并默认强制 HTTPS。如果 hPanel 的 SSL 页面显示 Failed，或者一直停在 Installing，几乎都是解析没到 Hostinger、开着 Cloudflare 代理、有 CAA 记录或域名太长。

内容以 2026 年 11 月的 Hostinger 官方帮助中心为准，状态名和提示按官方英文原文列出。

Hostinger 的证书是怎么来的

共享主机上的 Lifetime SSL 是全自动的。官方说所有 Web 和 Cloud 主机套餐都提供免费 SSL，并且 “Lifetime SSL installs automatically once a domain is added to your hosting plan.” 排查文章给出的时间是：添加网站、子域名或停放域名后 1～2 小时内自动安装，失败会自动重试。用 Hostinger AI 建站器做的网站，发布后才有 SSL，而且 SSL 设置不能修改。通配符证书只在 VPS 套餐上支持。

帮助中心没有写 Lifetime SSL 由哪家 CA 签发。用 SSL 证书检查 看一下线上证书的签发者，以后配置 CAA 会用到。

把域名指向 Hostinger

证书安装之前，域名必须先解析到你的 Hostinger 主机。hPanel 提供两种方式：

• 改 DNS 服务器： 在注册商（阿里云、腾讯云、Namecheap 等）那里填 hPanel 显示的 DNS 服务器。官方示例是 example1.dns-parking.com、example2.dns-parking.com 这种形式，但文档提醒 “Hostinger nameserver pairs differ per domain, so never guess one or copy it from another guide or domain.”
• 加 A 记录： 选择 Connect via DNS record，在原来的解析商那里给 @ 和 www 各加一条 A 记录，指向 hPanel 显示的主机 IP。

官方说解析生效最多等 24 小时。同一个域名只保留一条 A 记录，旧的指向别处的记录会让验证打到错误的服务器上。如果企业邮箱的 MX 记录已经在 DNSPod 配好，只加 A 记录即可，不用迁移整个解析。

CAA 记录：Lifetime SSL 不需要

Hostinger 的态度是 Lifetime SSL 不需要 CAA 记录。失败排查文章原文是 “Lifetime SSL does not require Certificate Authority Authorization (CAA) records”，处理办法是把 DNS 区域里的 CAA 记录删掉。另一篇 CAA 管理文章则让你保留 Hostinger 自动创建的默认 CAA 记录；对自定义证书，它说 “Both the tag and the CA domain should be provided by your certificate issuer.”

所以可以这样处理：

• 自己从没加过 CAA：保持原样。
• 为别的业务加过 CAA，Lifetime SSL 安装失败：按官方说法删掉，或者给 Hostinger 证书的签发 CA 补一条记录。
• 自定义证书：按签发方文档写 CA 域名，比如 SSL.com 的证书写 0 issue "ssl.com"。

用 CAA 记录检查 看实际生效的记录，CA 怎么判断 CAA 见 CAA 记录阻止签发。

一直 Installing 或显示 Failed 怎么排查

SSL 停在 Installing 超过两小时，或者显示 Failed，就按官方清单逐项检查。状态在 Websites → Manage → Security → SSL 里查看，共四种：Active、Installing、Inactive 和 Failed，两小时内显示 Installing 是正常的。官方清单：

1. 解析： 域名要通过 DNS 服务器或 A 记录指向 Hostinger，并且已经全球生效。
2. Cloudflare： 官方原文是 “temporarily set the A record to DNS only (bypass proxy) until the SSL installation completes”，等证书变成 Active 再把代理打开。
3. 只留一条 A 记录： 删掉同名的多余 A 记录。
4. CAA： 按上一节删掉 CAA 记录。
5. 域名长度： “The total length of the domain (including subdomains and extensions like .com) must be 64 characters or fewer.” 超过就签不了证书，层级很深的子域名尤其要注意。
6. 重装： 在 SSL 页面点域名旁边的 ⋮ 菜单，选 Uninstall，再重新安装。

重装之前先从外部确认解析：

dig +short NS example.com
dig +short A example.com
dig +short A www.example.com
dig +short CAA example.com

还有两个报错，官方各有文章。装完证书立刻出现 ERR_SSL_PROTOCOL_ERROR 的，卸载后重装即可，见 ERR_SSL_PROTOCOL_ERROR。ERR_TOO_MANY_REDIRECTS 是两处跳转打架：Force HTTPS 之外 .htaccess 又加了跳转、Cloudflare 的 SSL 模式用 HTTP 回源，或者 WordPress 的 siteurl 和 home 不是 https 开头。

强制 HTTPS

Web 和 Cloud 套餐默认就强制 HTTPS。官方原文是 “As soon as an SSL certificate is installed on your website on any Web or Cloud hosting plan, HTTPS will be enabled (forced) by default.” 要修改的话，打开 Websites → Manage → SSL，点域名旁边的 ⋮，选 Unforce HTTPS；想恢复就选 Force HTTPS。注意 “Forcing and unforcing HTTPS is not available on Agency Hosting plans.” 开着 Force HTTPS 时不要再在 .htaccess 里写第二条跳转，这是跳转循环最常见的原因。Hostinger 帮助中心没有提供 HSTS 开关，想自己加响应头，见 开启 HSTS。

处理混合内容

Hostinger 的混合内容文档给了两条路。治本的办法是把网站配置和内容里的 http:// 改成 https://（WordPress 就是站点地址和数据库里存的链接）。快速办法是在 .htaccess 里加一行响应头，让浏览器自动把不安全的请求升级为 HTTPS：

Header always set Content-Security-Policy: upgrade-insecure-requests

官方提醒，网站用了符号链接（symlink）时不建议用这个办法。而且只有资源本身有 HTTPS 版本时，这行头才有用。用 混合内容扫描 找出不安全的地址，原理见 混合内容警告。

能不能上传自己买的证书

可以。打开 Websites → Manage → Security → SSL，选 Import SSL，粘贴证书、私钥和 CA 证书链（CABUNDLE）。导入时域名上不能有已安装的 SSL，所以要先卸载 Lifetime SSL。AI 建站器做的网站不能用自定义证书；自定义的通配符和多域名证书，官方只在 VPS 上支持。Hostinger 提醒，自定义证书过期而又开着强制 HTTPS，网站会直接打不开。公开证书 2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，自定义证书一年要重装好几次，Lifetime SSL 则会自己续期。导入时必须带上 CA 证书链，见 安装中间证书。

验证

状态变成 Active 后，主域名和 www 都返回有效证书，HTTP 请求跳转到 HTTPS。从外部检查：

curl ssl.sh/example.com
curl ssl.sh/www.example.com
curl -sI http://example.com | grep -iE '^(HTTP|location)'

网页版 SSL 证书检查 会显示签发者、包含的域名、证书链和到期日。只要解析一直指向 Hostinger，Lifetime SSL 就会自动续期；想在续期中断时收到提醒，可以把域名加入 ssl.sh 监控（开发中）。