# Squarespace SSL 证书：解析记录、CAA 与证书不可用排查

> Squarespace 的免费 Let's Encrypt 证书怎么生效：第三方域名加哪些 A 和 CNAME 记录，CAA 放行 letsencrypt.org，SSL Certificates Unavailable 怎么排查。

Source: https://ssl.sh/zh/guides/squarespace-ssl/
Last updated: 2026-11-10

Squarespace 会给连接到网站的每个域名自动签发并续期 Let's Encrypt 免费证书，用户不能上传自己的证书。在其他地方注册的域名，只要按要求加好 Squarespace 的解析记录，最长 48 小时内就会有证书。超过 48 小时域名概览里还显示 “SSL Certificates Unavailable”，先查解析记录，再查 CAA 记录。

内容以 Squarespace 官方帮助中心为准（截至 2026 年 11 月），状态名和提示按官方英文原文列出。

## Squarespace 的证书是怎么来的

域名一连接上，Squarespace 就会替你申请证书。官方帮助中心原话是 “Let's Encrypt is our certificate authority partner for providing DV (Domain-Validated) SSL certificates”，覆盖范围包括 Squarespace 域名、连接进来的第三方域名、子域名和内置域名。所有 HTTPS 连接使用 TLS 1.2 及以上版本；截至 2026 年 11 月，官方说证书每 90 天更新一次。

证书能不能签下来，取决于 Squarespace 能不能看到自己的解析记录。域名完全连接、用上 Squarespace 的记录后才会生成证书，官方给新连接的域名留了最长 48 小时。一切正常时，域名管理页里证书显示 Issued，SSL 面板里显示 Active。

## 把域名解析到 Squarespace

第三方域名有两种连接方式：改 DNS 服务器（nameserver connect）或加解析记录（DNS connect）。改 DNS 服务器是在注册商那里把域名的 DNS 服务器换成 Squarespace 的（官方 Namecheap 接入指南里写的是 `connect1.squarespacedns.com` 和 `connect2.squarespacedns.com`），之后解析记录都在 Squarespace 里管理。加解析记录则保留原来的解析商，比如阿里云云解析 DNS 或腾讯云 DNSPod，添加下表的记录。操作入口是 **Domains 面板 → Use a Domain I Own**，输入域名后选择你的服务商。

| 记录类型 | 主机记录 | 记录值 |
|---|---|---|
| CNAME | Squarespace 给出的唯一代码（以 `v` 开头） | `verify.squarespace.com` |
| CNAME | `www` | `ext-cust.squarespace.com` |
| A | `@` | `198.185.159.144` |
| A | `@` | `198.185.159.145` |
| A | `@` | `198.49.23.144` |
| A | `@` | `198.49.23.145` |

验证用的 CNAME 每个网站都不一样，要从 Squarespace 域名的 DNS 设置里复制；服务商不支持这条 CNAME 时，官方提供 TXT 记录作为替代。如果服务商不允许 `www` 用 CNAME，官方的备选做法是给 `www` 加一条指向 `198.185.159.144` 的 A 记录。`@` 上原来指向别处的 A 记录要删掉。检查过程中，连接状态会显示 Connection in progress、Connected、DNS error 或 Record not found；旧版设置遗留的过时记录也可能导致 HTTPS 打不开。

域名上有很多自定义记录（比如企业邮箱的 MX、各类验证 TXT）的，用“加解析记录”的方式，原来的记录都不用迁移。

## 设了 CAA 记录：放行 letsencrypt.org

域名有 [CAA 记录](https://ssl.sh/zh/glossary/caa/) 的话，必须允许 Let's Encrypt 签发。Squarespace 的排查文档让第三方域名的用户 “Ask your provider if their system uses CAA record restrictions”，因为 “Our SSL provider can't issue a certificate if there's a restriction.” Squarespace 用的 CA 是 Let's Encrypt，它的 CAA 标识是 `letsencrypt.org`：

```text
example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
```

把这条加在已有的 CAA 记录旁边即可，原来放行其他 CA 的记录不用删。加完用 [CAA 记录检查](https://ssl.sh/zh/tools/caa-checker/) 确认一下实际生效的记录。域名本来没有 CAA 记录的，保持原样就好，没有记录就等于不限制。CA 如何判断 CAA，见 [CAA 记录阻止签发](https://ssl.sh/zh/errors/caa-record-prevents-issuance/)。

## 看到 SSL Certificates Unavailable 怎么排查

先等满 48 小时，再查域名指向和 CAA 限制。官方原文是：“If we have trouble generating a certificate for your domain, an "SSL Certificates Unavailable" message will appear in your domain overview panel.” 官方给出的排查顺序：

1. 域名刚接入网站的，等满 48 小时。
2. 确认域名指向你的 Squarespace 网站：Squarespace 域名要保证默认记录完整；第三方域名要核对服务商那里的记录是否和上表一致。
3. 第三方域名问一下服务商有没有 CAA 限制，放行 `letsencrypt.org`。
4. 在 SSL 面板确认网站设为 **Secure**。
5. 每次改完再等 48 小时，用浏览器的无痕窗口检查。

官方还说，刚连接后的 48 小时内，域名设置里出现证书处理中的提示是正常的。如果问题一直解决不了，官方最后的办法是把域名转入 Squarespace，或者留在原服务商但关闭 SSL，后者会让网站失去 HTTPS。可以先用 dig 对比公网解析和 Squarespace 的要求：

```bash
dig +short A example.com
dig +short CNAME www.example.com
dig +short CAA example.com
```

证书还没签好时，浏览器会提示 “Your connection is not private” 或 “Your connection is not secure”，含义见 [您的连接不是私密连接](https://ssl.sh/zh/errors/your-connection-is-not-private/)。

## 强制 HTTPS：Secure、HSTS Secure 和 Insecure

在 SSL 面板的安全设置里选 **Secure**，这是官方推荐的默认值，会把访问者带到 HTTPS。三个选项分别是：

- **Secure (Preferred)**：使用 HTTPS，HTTP 访问会跳转过来。
- **HSTS Secure**：在此基础上加 [HSTS](https://ssl.sh/zh/glossary/hsts/)，浏览器以后只用 HTTPS 访问你的域名。
- **Insecure**：即使有证书，也允许继续用 HTTP 访问。2016 年 10 月以前注册或连接的域名默认是 Insecure，老网站要检查这一项。

改完点 **Save**，最长 48 小时生效。官方明确说 “It's not possible to remove SSL certificates”，并提醒 “Disabling HSTS or switching to the Insecure setting can temporarily prevent access to your site.” 所以 HSTS Secure 最好在处理完下面的混合内容之后再开，开完用 [HSTS 检查](https://ssl.sh/zh/tools/hsts-checker/) 确认响应头。

## 处理混合内容

混合内容基本都来自自定义代码，Squarespace 自带的区块不会有这个问题。官方说选了 Secure 之后，“visitors may find browser warnings when they load mixed content from your site.” 重点检查代码注入（Code Injection）、代码块、嵌入的第三方小部件，以及以 `http://` 开头的图片和脚本地址，把它们换成能正常打开的 `https://` 地址。官方不提供自定义代码的支持，这部分要自己处理。

用 [混合内容扫描](https://ssl.sh/zh/tools/mixed-content-scanner/) 扫一下首页和几个主要页面模板，浏览器对不同资源的处理方式见 [混合内容警告](https://ssl.sh/zh/errors/mixed-content-warning/)。

## 能不能上传自己买的证书

不能。官方原文是 “We don't support installing third-party SSL certificates.” 如果你现在是在 Cloudflare 之类的服务上终止 HTTPS，官方建议改用 Squarespace 的证书。任何套餐都不能安装 OV 或 EV 证书。

## 验证

配置正确时，签发者是 Let's Encrypt，主域名和 www 都在证书里，证书链完整；选了 Secure 后 HTTP 跳转到 HTTPS。SSL 面板显示证书 Active 之后，从外部检查：

```bash
curl ssl.sh/example.com
curl ssl.sh/www.example.com
```

也可以用网页版 [SSL 证书检查](https://ssl.sh/zh/tools/ssl-checker/)。再确认 HTTP 是否跳转：

```bash
curl -sI http://example.com | grep -iE '^(HTTP|location)'
```

## 续期与证书有效期变化

只要解析记录不变，续期是自动的。Let's Encrypt 默认证书 2027 年 2 月 10 日从 90 天改为 64 天，2028 年 2 月 16 日再改为 45 天；所有公开证书目前最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。有效期越短，解析改错之后证书过期得越快。每次改完 DNS 都重新检查一遍，也可以把域名加入 [ssl.sh 监控](https://ssl.sh/zh/monitor/)（开发中）。