Plesk 用 SSL It! 为网站配置 Let's Encrypt 证书

在 Plesk Obsidian 里，SSL It! 扩展负责为域名申请 Let's Encrypt 免费证书，覆盖主域名和 www，可选 webmail 和邮件域。它还能打开 HTTP 跳转 HTTPS，并在证书到期前 30 天自动续期。

适用于截至 2026 年 11 月装有 SSL It! 扩展的 Plesk Obsidian，各版本菜单文字可能略有差异。菜单名按 Plesk 官方文档的英文界面写，中文界面显示对应的译名。

国内用户先了解的几点

国内用户在 Plesk 上申请证书，容易出问题的是 80 端口、DNS 托管位置和备案三处。

Plesk 和 cPanel 一样是按许可证收费的商业面板，国内读者多半是在海外主机商那里拿到一个 Plesk 订阅账户。权限只到订阅一级时，Let's Encrypt 的全局设置（比如证书提供商、通知）由主机商的管理员控制。

• 80 端口：默认的 HTTP 验证需要 Let's Encrypt 能通过 80 端口访问网站。自己在云服务器上装 Plesk 的，要在云厂商的安全组里放行 80 和 443，Plesk 自带的防火墙也要放行。
• DNS 在哪里：域名注册在阿里云、腾讯云，解析放在云解析或 DNSPod，只要 A 记录指向 Plesk 服务器，普通证书照样能签；但通配符证书要求 Plesk 是主 DNS，这一点和宝塔、1Panel 用 DNS 接口密钥的做法不同。
• 备案：服务器在中国大陆的，所有对外提供访问的网站都需要 ICP 备案，没有备案的域名可能被服务商拦截，验证也会失败。海外服务器不涉及备案。
• 到期提醒：Let's Encrypt 从 2025 年 6 月 4 日起不再发送到期提醒邮件，SSL It! 自动续期出问题时，需要你自己的监控兜底。

前提条件

Let's Encrypt 必须能验证这个域名。

• 一个 Plesk Obsidian 订阅，能访问 Websites & Domains。
• example.com 和 www.example.com 的 A/AAAA 记录指向 Plesk 服务器，例如 203.0.113.10。
• 走 HTTP 验证时 80 端口能从公网访问；走 DNS 验证或签通配符时，Plesk 管理着域名的 DNS 区域。
• 已安装 SSL It! 扩展（当前的 Plesk 安装默认带有）。

第一步：为域名打开 SSL It!

SSL It! 在每个域名的 SSL/TLS Certificates 页面里。依次打开 Websites & Domains → example.com → SSL/TLS Certificates，页面会显示主域名、www、webmail 和邮件的当前证书状态。

第二步：申请免费证书

在免费基础证书一栏点 Install，然后勾选要保护的内容：

• Secure the domain name / Include a "www" subdomain：主域名和 www，一般都要勾。
• Secure webmail / Assign the certificate to mail domain：用 Plesk 自带邮件时勾选，邮件客户端就不会再报证书警告。
• Secure the wildcard domain：只在 Plesk 是这个域名的主 DNS 时才勾。

按提示填写邮箱，点 Get it free。Plesk 会完成验证并安装证书，完成后 SSL It! 页面上的各项状态会显示为已受保护。如果验证失败，最常见的原因是域名还没解析过来或 80 端口不通，先按下面的排查清单逐项处理，确认无误后再重新申请。不要短时间内连续点很多次，失败次数多了会触发 Let's Encrypt 的频率限制，反而要等更久。

第三步：打开跳转、HSTS 和 Keep websites secured

HTTP 跳转、HSTS 和自动加入新子域名，都在 SSL It! 页面上用开关设置：

• 打开 Redirect from HTTP to HTTPS（301 跳转）。不要再在 .htaccess 或 Nginx 附加指令里重复写跳转。
• HSTS 等确认全站 HTTPS 都正常、读过 开启 HSTS 之后再开。
• 打开 Keep websites secured，以后新增的子域名、别名和 webmail 会自动加进证书。

第四步（可选）：安装购买的证书

要用商业证书，在 SSL It! 里使用上传或安装付费证书的选项，粘贴证书、私钥和 CA 证书（中间证书），再分配给域名。中间证书必须贴上，证书链才完整，否则部分手机和小程序会报不受信任。阿里云、腾讯云签发的证书同样可以这样安装，用“其他”或 Apache 格式里的文件即可。

验证

配置正确时，证书颁发者是 Let's Encrypt，HTTP 请求 301 跳转到 HTTPS。用 SSL 证书检查 检查域名，或在终端运行：

curl ssl.sh/example.com
curl -sI http://example.com | grep -iE '^(HTTP|location)'

开了 HSTS 的，可以用 HSTS 检查 确认响应头。

自动续期

SSL It! 会在 Let's Encrypt 免费证书到期前 30 天自动续期，不用你管理计划任务。前提是验证一直能通过：如果后来把 DNS 切到了 CDN，或者关掉了 80 端口，续期就会失败，这时改用 DNS 验证（较新的 SSL It! 版本支持）。

Let's Encrypt 默认证书 2027 年 2 月 10 日起改为 64 天，2028 年 2 月 16 日起改为 45 天。64 天的证书提前 30 天续期仍然可行，但续期窗口会怎么随之调整，请关注 SSL It! 的更新日志。购买的证书不会自动续期，公网证书 2026 年 3 月 15 日起最长 200 天，到期前要自己重装。建议把域名加到 ssl.sh 监控（开发中） 作为独立检查。

常见问题排查

• Let's Encrypt 无法验证域名：DNS 没有指向这台服务器，或 80 端口被安全组、防火墙挡住，原因和 certbot 连接超时 相同。
• CAA 记录阻止签发：CAA 记录没有允许 Let's Encrypt，见 CAA 记录阻止签发。
• 看不到通配符选项：这个域名的 DNS 不由 Plesk 管理。
• 触发频率限制：同样的域名反复重签，见 Let's Encrypt 频率限制。
• 邮件客户端显示的证书不对：证书没有分配给邮件，打开 “Assign the certificate to mail domain”。