# Plesk 配置 SSL：用 SSL It! 申请 Let's Encrypt 免费证书

> 在 Plesk Obsidian 用 SSL It! 扩展申请 Let's Encrypt 免费证书，DNS 验证签通配符，开启 HTTP 跳转 HTTPS、HSTS 和自动续期，附国内用户注意事项。

Source: https://ssl.sh/zh/guides/plesk-ssl/
Last updated: 2026-11-10

在 Plesk Obsidian 里，SSL It! 扩展负责为域名申请 Let's Encrypt 免费证书，覆盖主域名和 `www`，可选 webmail 和邮件域。它还能打开 HTTP 跳转 HTTPS，并在证书到期前 30 天自动续期。

适用于截至 2026 年 11 月装有 SSL It! 扩展的 Plesk Obsidian，各版本菜单文字可能略有差异。菜单名按 Plesk 官方文档的英文界面写，中文界面显示对应的译名。

## 国内用户先了解的几点

国内用户在 Plesk 上申请证书，容易出问题的是 80 端口、DNS 托管位置和备案三处。

Plesk 和 cPanel 一样是按许可证收费的商业面板，国内读者多半是在海外主机商那里拿到一个 Plesk 订阅账户。权限只到订阅一级时，Let's Encrypt 的全局设置（比如证书提供商、通知）由主机商的管理员控制。

- **80 端口**：默认的 HTTP 验证需要 Let's Encrypt 能通过 80 端口访问网站。自己在云服务器上装 Plesk 的，要在云厂商的安全组里放行 80 和 443，Plesk 自带的防火墙也要放行。
- **DNS 在哪里**：域名注册在阿里云、腾讯云，解析放在云解析或 DNSPod，只要 `A` 记录指向 Plesk 服务器，普通证书照样能签；但通配符证书要求 Plesk 是主 DNS，这一点和宝塔、1Panel 用 DNS 接口密钥的做法不同。
- **备案**：服务器在中国大陆的，所有对外提供访问的网站都需要 ICP 备案，没有备案的域名可能被服务商拦截，验证也会失败。海外服务器不涉及备案。
- **到期提醒**：Let's Encrypt 从 2025 年 6 月 4 日起不再发送到期提醒邮件，SSL It! 自动续期出问题时，需要你自己的监控兜底。

## 前提条件

Let's Encrypt 必须能验证这个域名。

- 一个 Plesk Obsidian 订阅，能访问 **Websites & Domains**。
- `example.com` 和 `www.example.com` 的 `A`/`AAAA` 记录指向 Plesk 服务器，例如 `203.0.113.10`。
- 走 HTTP 验证时 80 端口能从公网访问；走 DNS 验证或签通配符时，Plesk 管理着域名的 DNS 区域。
- 已安装 SSL It! 扩展（当前的 Plesk 安装默认带有）。

## 第一步：为域名打开 SSL It!

SSL It! 在每个域名的 SSL/TLS Certificates 页面里。依次打开 **Websites & Domains → example.com → SSL/TLS Certificates**，页面会显示主域名、`www`、webmail 和邮件的当前证书状态。

## 第二步：申请免费证书

在免费基础证书一栏点 **Install**，然后勾选要保护的内容：

- **Secure the domain name / Include a "www" subdomain**：主域名和 www，一般都要勾。
- **Secure webmail / Assign the certificate to mail domain**：用 Plesk 自带邮件时勾选，邮件客户端就不会再报证书警告。
- **Secure the wildcard domain**：只在 Plesk 是这个域名的主 DNS 时才勾。

按提示填写邮箱，点 **Get it free**。Plesk 会完成验证并安装证书，完成后 SSL It! 页面上的各项状态会显示为已受保护。如果验证失败，最常见的原因是域名还没解析过来或 80 端口不通，先按下面的排查清单逐项处理，确认无误后再重新申请。不要短时间内连续点很多次，失败次数多了会触发 Let's Encrypt 的频率限制，反而要等更久。

## 第三步：打开跳转、HSTS 和 Keep websites secured

HTTP 跳转、HSTS 和自动加入新子域名，都在 SSL It! 页面上用开关设置：

- 打开 **Redirect from HTTP to HTTPS**（301 跳转）。不要再在 `.htaccess` 或 Nginx 附加指令里重复写跳转。
- **HSTS** 等确认全站 HTTPS 都正常、读过 [开启 HSTS](https://ssl.sh/zh/guides/enable-hsts/) 之后再开。
- 打开 **Keep websites secured**，以后新增的子域名、别名和 webmail 会自动加进证书。

## 第四步（可选）：安装购买的证书

要用商业证书，在 SSL It! 里使用上传或安装付费证书的选项，粘贴证书、私钥和 CA 证书（中间证书），再分配给域名。中间证书必须贴上，证书链才完整，否则部分手机和小程序会报不受信任。阿里云、腾讯云签发的证书同样可以这样安装，用“其他”或 Apache 格式里的文件即可。

## 验证

配置正确时，证书颁发者是 Let's Encrypt，HTTP 请求 301 跳转到 HTTPS。用 [SSL 证书检查](https://ssl.sh/zh/tools/ssl-checker/) 检查域名，或在终端运行：

```bash
curl ssl.sh/example.com
curl -sI http://example.com | grep -iE '^(HTTP|location)'
```

开了 HSTS 的，可以用 [HSTS 检查](https://ssl.sh/zh/tools/hsts-checker/) 确认响应头。

## 自动续期

SSL It! 会在 Let's Encrypt 免费证书到期前 30 天自动续期，不用你管理计划任务。前提是验证一直能通过：如果后来把 DNS 切到了 CDN，或者关掉了 80 端口，续期就会失败，这时改用 DNS 验证（较新的 SSL It! 版本支持）。

Let's Encrypt 默认证书 2027 年 2 月 10 日起改为 64 天，2028 年 2 月 16 日起改为 45 天。64 天的证书提前 30 天续期仍然可行，但续期窗口会怎么随之调整，请关注 SSL It! 的更新日志。购买的证书不会自动续期，公网证书 2026 年 3 月 15 日起最长 200 天，到期前要自己重装。建议把域名加到 [ssl.sh 监控](https://ssl.sh/zh/monitor/)（开发中） 作为独立检查。

## 常见问题排查

- **Let's Encrypt 无法验证域名**：DNS 没有指向这台服务器，或 80 端口被安全组、防火墙挡住，原因和 [certbot 连接超时](https://ssl.sh/zh/errors/certbot-timeout-during-connect/) 相同。
- **CAA 记录阻止签发**：CAA 记录没有允许 Let's Encrypt，见 [CAA 记录阻止签发](https://ssl.sh/zh/errors/caa-record-prevents-issuance/)。
- **看不到通配符选项**：这个域名的 DNS 不由 Plesk 管理。
- **触发频率限制**：同样的域名反复重签，见 [Let's Encrypt 频率限制](https://ssl.sh/zh/errors/lets-encrypt-rate-limit/)。
- **邮件客户端显示的证书不对**：证书没有分配给邮件，打开 “Assign the certificate to mail domain”。