Squarespace SSL 证书：绑定域名、放行 CAA 与证书报错排查

Squarespace 会给连接到网站的每个域名自动签发并续期 Let's Encrypt 免费证书，用户不能上传自己的证书。在其他地方注册的域名，只要按要求加好 Squarespace 的解析记录，最长 48 小时内就会有证书。超过 48 小时域名概览里还显示 “SSL Certificates Unavailable”，先查解析记录，再查 CAA 记录。

内容以 Squarespace 官方帮助中心为准（截至 2026 年 11 月），状态名和提示按官方英文原文列出。

Squarespace 的证书是怎么来的

域名一连接上，Squarespace 就会替你申请证书。官方帮助中心原话是 “Let's Encrypt is our certificate authority partner for providing DV (Domain-Validated) SSL certificates”，覆盖范围包括 Squarespace 域名、连接进来的第三方域名、子域名和内置域名。所有 HTTPS 连接使用 TLS 1.2 及以上版本；截至 2026 年 11 月，官方说证书每 90 天更新一次。

证书能不能签下来，取决于 Squarespace 能不能看到自己的解析记录。域名完全连接、用上 Squarespace 的记录后才会生成证书，官方给新连接的域名留了最长 48 小时。一切正常时，域名管理页里证书显示 Issued，SSL 面板里显示 Active。

把域名解析到 Squarespace

第三方域名有两种连接方式：改 DNS 服务器（nameserver connect）或加解析记录（DNS connect）。改 DNS 服务器是在注册商那里把域名的 DNS 服务器换成 Squarespace 的（官方 Namecheap 接入指南里写的是 connect1.squarespacedns.com 和 connect2.squarespacedns.com），之后解析记录都在 Squarespace 里管理。加解析记录则保留原来的解析商，比如阿里云云解析 DNS 或腾讯云 DNSPod，添加下表的记录。操作入口是 Domains 面板 → Use a Domain I Own，输入域名后选择你的服务商。

验证用的 CNAME 每个网站都不一样，要从 Squarespace 域名的 DNS 设置里复制；服务商不支持这条 CNAME 时，官方提供 TXT 记录作为替代。如果服务商不允许 www 用 CNAME，官方的备选做法是给 www 加一条指向 198.185.159.144 的 A 记录。@ 上原来指向别处的 A 记录要删掉。检查过程中，连接状态会显示 Connection in progress、Connected、DNS error 或 Record not found；旧版设置遗留的过时记录也可能导致 HTTPS 打不开。

域名上有很多自定义记录（比如企业邮箱的 MX、各类验证 TXT）的，用“加解析记录”的方式，原来的记录都不用迁移。

设了 CAA 记录：放行 letsencrypt.org

域名有 CAA 记录 的话，必须允许 Let's Encrypt 签发。Squarespace 的排查文档让第三方域名的用户 “Ask your provider if their system uses CAA record restrictions”，因为 “Our SSL provider can't issue a certificate if there's a restriction.” Squarespace 用的 CA 是 Let's Encrypt，它的 CAA 标识是 letsencrypt.org：

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

把这条加在已有的 CAA 记录旁边即可，原来放行其他 CA 的记录不用删。加完用 CAA 记录检查 确认一下实际生效的记录。域名本来没有 CAA 记录的，保持原样就好，没有记录就等于不限制。CA 如何判断 CAA，见 CAA 记录阻止签发。

看到 SSL Certificates Unavailable 怎么排查

先等满 48 小时，再查域名指向和 CAA 限制。官方原文是：“If we have trouble generating a certificate for your domain, an "SSL Certificates Unavailable" message will appear in your domain overview panel.” 官方给出的排查顺序：

1. 域名刚接入网站的，等满 48 小时。
2. 确认域名指向你的 Squarespace 网站：Squarespace 域名要保证默认记录完整；第三方域名要核对服务商那里的记录是否和上表一致。
3. 第三方域名问一下服务商有没有 CAA 限制，放行 letsencrypt.org。
4. 在 SSL 面板确认网站设为 Secure。
5. 每次改完再等 48 小时，用浏览器的无痕窗口检查。

官方还说，刚连接后的 48 小时内，域名设置里出现证书处理中的提示是正常的。如果问题一直解决不了，官方最后的办法是把域名转入 Squarespace，或者留在原服务商但关闭 SSL，后者会让网站失去 HTTPS。可以先用 dig 对比公网解析和 Squarespace 的要求：

dig +short A example.com
dig +short CNAME www.example.com
dig +short CAA example.com

证书还没签好时，浏览器会提示 “Your connection is not private” 或 “Your connection is not secure”，含义见 您的连接不是私密连接。

强制 HTTPS：Secure、HSTS Secure 和 Insecure

在 SSL 面板的安全设置里选 Secure，这是官方推荐的默认值，会把访问者带到 HTTPS。三个选项分别是：

• Secure (Preferred)：使用 HTTPS，HTTP 访问会跳转过来。
• HSTS Secure：在此基础上加 HSTS，浏览器以后只用 HTTPS 访问你的域名。
• Insecure：即使有证书，也允许继续用 HTTP 访问。2016 年 10 月以前注册或连接的域名默认是 Insecure，老网站要检查这一项。

改完点 Save，最长 48 小时生效。官方明确说 “It's not possible to remove SSL certificates”，并提醒 “Disabling HSTS or switching to the Insecure setting can temporarily prevent access to your site.” 所以 HSTS Secure 最好在处理完下面的混合内容之后再开，开完用 HSTS 检查 确认响应头。

处理混合内容

混合内容基本都来自自定义代码，Squarespace 自带的区块不会有这个问题。官方说选了 Secure 之后，“visitors may find browser warnings when they load mixed content from your site.” 重点检查代码注入（Code Injection）、代码块、嵌入的第三方小部件，以及以 http:// 开头的图片和脚本地址，把它们换成能正常打开的 https:// 地址。官方不提供自定义代码的支持，这部分要自己处理。

用 混合内容扫描 扫一下首页和几个主要页面模板，浏览器对不同资源的处理方式见 混合内容警告。

能不能上传自己买的证书

不能。官方原文是 “We don't support installing third-party SSL certificates.” 如果你现在是在 Cloudflare 之类的服务上终止 HTTPS，官方建议改用 Squarespace 的证书。任何套餐都不能安装 OV 或 EV 证书。

验证

配置正确时，签发者是 Let's Encrypt，主域名和 www 都在证书里，证书链完整；选了 Secure 后 HTTP 跳转到 HTTPS。SSL 面板显示证书 Active 之后，从外部检查：

curl ssl.sh/example.com
curl ssl.sh/www.example.com

也可以用网页版 SSL 证书检查。再确认 HTTP 是否跳转：

curl -sI http://example.com | grep -iE '^(HTTP|location)'

续期与证书有效期变化

只要解析记录不变，续期是自动的。Let's Encrypt 默认证书 2027 年 2 月 10 日从 90 天改为 64 天，2028 年 2 月 16 日再改为 45 天；所有公开证书目前最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。有效期越短，解析改错之后证书过期得越快。每次改完 DNS 都重新检查一遍，也可以把域名加入 ssl.sh 监控（开发中）。