SiteGround SSL 证书：Let's Encrypt 安装、报错排查与 HTTPS Enforce

SiteGround 会在 Site Tools 里为每个网站免费签发并自动续期 Let's Encrypt 证书；新网站会自动尝试安装，域名指向后最长可能要 72 小时。证书一直没出来时，SSL Manager 里通常会出现三种报错之一，归根结底都是解析问题。证书装好后用 HTTPS Enforce 强制跳转，用 Speed Optimizer 清理混合内容。

内容以 SiteGround 官方知识库为准（截至 2026 年 11 月），报错按官方英文原文列出。

SiteGround 的证书是怎么来的

SiteGround 提供三种证书：“Let's Encrypt SSL”“Let's Encrypt Wildcard SSL” 和付费的 “Premium Wildcard SSL”。知识库说所有主机套餐都包含免费的标准和通配符 Let's Encrypt 证书，Premium Wildcard 则由 GlobalSign 签发。新网站方面，官方原文是 “By default, we try to automatically issue a free Let's Encrypt SSL certificate for each site created on our platform.” 同时提醒 “The installation process may take up to 72 hours after the domain of your site has been registered”，或者域名刚指向 SiteGround 的情况也一样。

截至 2026 年 11 月，知识库写的是免费 Let's Encrypt 证书有效期 90 天，到期前 30 天自动续期。Let's Encrypt 默认证书 2027 年 2 月 10 日改为 64 天，2028 年 2 月 16 日改为 45 天；续期仍然是自动的，只是发现 DNS 问题的时间更少了。

把域名指向 SiteGround

域名必须先解析到 SiteGround 服务器，证书才签得下来。有两种方式：

• 改 DNS 服务器： 在注册商那里填 ns1.siteground.net 和 ns2.siteground.net，之后在 Site Tools → Domain → DNS Zone Editor 管理记录。官方说明 “You can manage DNS records only if your domain is pointed to our name servers.”
• 只改 A 记录： 保留原解析商，“update only the domain's A record to point to your hosting account's IP address”。IP 和 DNS 服务器信息在 Client Area → Websites → Website Settings → Server Details。

www 也要指过来（A 记录指向同一个 IP，或者 CNAME 指向主域名），因为证书要同时覆盖这两个名字。企业邮箱和各类验证记录已经在 DNSPod 或阿里云解析里配好的，用只改 A 记录的方式改动最小。

设了 CAA 记录：放行 letsencrypt.org

域名有 CAA 记录 的话，必须允许给 SiteGround 证书签发的那家 CA。SiteGround 知识库没有讲 CAA，它的 DNS Zone Editor 文档列出的记录类型是 A、AAAA、CNAME、MX、SRV 和 TXT，所以 SiteGround 网站上的 CAA 记录一般设在外部解析商那里，比如 DNSPod。免费证书的 CA 是 Let's Encrypt，CAA 标识是 letsencrypt.org：

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

没有 issuewild 记录时，issue 记录同样约束通配符证书；如果域名设了 issuewild 记录，申请 Let's Encrypt Wildcard SSL 之前还要加一条 0 issuewild "letsencrypt.org"。买的是 Premium Wildcard SSL 的，按 GlobalSign 文档里的标识放行 GlobalSign。加完用 CAA 记录检查 确认，CAA 挡住签发时的表现见 CAA 记录阻止签发。

证书装不上怎么排查

证书装不上几乎都是因为域名没有正确指向 SiteGround，修好解析后在 SSL Manager 里重新安装。打开 Site Tools → Security → SSL Manager，正常的证书在 Manage SSL 表格里显示 Active。72 小时后还没有自动装上，就手动安装：Install New SSL → 选择域名 → Let's Encrypt → Get。

官方的报错文章列出了三种 Let's Encrypt 安装报错，原文如下：

• “429 Too Many Requests”
• “No Domains Authorized”
• “Certificate is not for the chosen domain.”

SiteGround 把这三种报错归到同一个原因：“your domain name is not pointed properly or has been registered or pointed recently”。处理办法是确认域名指向正确的服务器，等解析生效（官方说 DNS 改动后最长 72 小时），然后重新安装。解析不对的情况下反复点安装，会消耗 Let's Encrypt 的签发次数，429 就是这么来的，见 Let's Encrypt 频率限制。其他问题，官方的建议是删掉出问题的证书，重新安装。

网站前面挂了 Cloudflare 的，SiteGround 知识库说要在服务器上的证书装好后，把 Cloudflare 的 SSL 设置从 “Flexible” 改成 “Strict”，让 Cloudflare 用经过验证的 HTTPS 连接源站。重试之前先确认解析：

dig +short NS example.com
dig +short A example.com
dig +short A www.example.com
dig +short CAA example.com

SSL Manager 里的 Renew 选项要到 SiteGround 签发的证书到期前 30 天才会变成可用，在此之前不需要手动续期。

用 HTTPS Enforce 强制 HTTPS

SiteGround 用 HTTPS Enforce 开关强制 HTTPS，服务器和 WordPress 插件两处只开一处。在 Site Tools → Security → HTTPS Enforce 里按域名打开开关，子域名和停放域名各有自己的开关；SSL Manager 里证书旁边的 ⋮ 菜单也能直接跳过去。官方补充说 “We highly recommend that you configure the HTTPS in your application, whenever possible”。对 WordPress 来说，就是用 SiteGround 的 Speed Optimizer 插件：打开 Environment，开启 HTTPS Enforce，它会往 .htaccess 里写入跳转规则。两种方法选一种，不要同时开，避免跳转循环。SiteGround 现在的知识库没有 HSTS 开关，等所有子域名都能正常走 HTTPS 后，可以按 开启 HSTS 自己加响应头。

处理混合内容

SiteGround 为 WordPress 提供三个处理混合内容的工具。它对混合内容的定义是页面上还有 “that are requested via HTTP. This is called mixed content.” 三个工具是：

• Speed Optimizer 里的 HTTPS Enforce，见上一节。
• Speed Optimizer → Environment 里的 Fix Insecure Content：“This option will dynamically rewrite insecurely loaded resources to go through https.” 官方建议只在警告仍然存在时才开，因为它会增加处理开销。
• Site Tools 里的 Search & Replace，把数据库中存着的 http://example.com 一次性改成 https://example.com，这是治本的做法。

其他程序就只能手动找出并修改 http:// 引用。用 混合内容扫描 逐页列出这些地址，浏览器的处理方式见 混合内容警告。

能不能上传自己买的证书

可以。官方原文是 “You can install third-party SSL certificates through Site Tools.” 进入 Site Tools → Security → SSL Manager → Install New SSL → Import，粘贴证书（CRT）、私钥（KEY）和 CA 证书链（CABUNDLE）；官方提醒证书要包含不带 www 的主域名。导入的证书 SiteGround 不能续期。公开证书 2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，导入证书意味着一年要手动换好几次。除非业务需要 OV 或 EV 验证，否则用免费的 Let's Encrypt 证书，不必手动更换。

验证

配置正确时，签发者是 Let's Encrypt（导入的证书则是你的 CA），主域名和 www 都在证书里，证书链完整。状态变成 Active 后，从外部检查：

curl ssl.sh/example.com
curl ssl.sh/www.example.com
curl -sI http://example.com | grep -iE '^(HTTP|location)'

也可以用网页版 SSL 证书检查。Let's Encrypt 从 2025 年 6 月 4 日起不再发到期提醒邮件，想在续期失败时收到提醒，可以把域名加入 ssl.sh 监控（开发中）。