腾讯云 SSL 证书申请与部署教程

腾讯云 SSL 证书控制台可以申请免费 DV 证书：提交域名，用自动 DNS、手动 DNS 或文件方式完成验证，签发后下载 Nginx 格式装到服务器，或直接部署到 CDN、负载均衡等腾讯云产品。

适用于截至 2026 年 11 月的腾讯云 SSL 证书控制台，免费额度、有效期和菜单名称以控制台为准。

前提条件

申请前准备好域名和验证方式。

• 已实名认证的腾讯云账号，能访问 SSL 证书控制台。
• 要申请证书的域名，例如 www.example.com；部署在中国境内服务器或 CDN 上的，域名需已备案。
• DNS 验证：能修改域名解析（在 DNSPod 解析的可以自动验证）。
• 文件验证：网站能通过 HTTP/HTTPS 访问，可以在网站根目录下放文件。

第一步：申请免费证书

免费证书在 SSL 证书控制台的“我的证书”里申请。登录腾讯云 SSL 证书控制台，进入 我的证书 → 申请免费证书，填写：

• 证书绑定域名：填 www.example.com（免费证书只能填一个域名）。
• 申请邮箱、所属项目：按需填写。
• 私钥密码：建议留空（原因见常见问题）。

第二步：选择验证方式并完成验证

腾讯云提供三种验证方式，域名解析在 DNSPod 时选自动 DNS 验证，不用手动加记录：

• 自动 DNS 验证：域名在 DNSPod 时自动添加记录。
• 手动 DNS 验证：在 DNS 服务商添加控制台给出的 TXT 记录（主机记录和记录值以页面为准）。
• 文件验证：下载验证文件，放到网站 /.well-known/pki-validation/ 目录下，保证能从公网访问。

各方式的适用场景见腾讯云文档“如何选择域名验证方式”。手动 DNS 验证时可以先确认记录已生效：

dig +short TXT _dnsauth.www.example.com

记录名以控制台给出的为准。验证通过后等待签发，通常几分钟到几小时。

第三步：下载并安装到服务器

签发后在证书列表点“下载”，选择 Nginx 格式。压缩包里通常有带 bundle 字样的证书文件（含中间证书）和 .key 私钥文件，文件名以下载包为准。上传到服务器：

sudo mkdir -p /etc/nginx/ssl
sudo unzip www.example.com_nginx.zip -d /etc/nginx/ssl/
sudo chmod 600 /etc/nginx/ssl/*/*.key
find /etc/nginx/ssl -type f

按实际文件名在 Nginx 配置里引用：

server {
    listen 443 ssl;
    server_name www.example.com;
    ssl_certificate     /etc/nginx/ssl/www.example.com_nginx/www.example.com_bundle.crt;
    ssl_certificate_key /etc/nginx/ssl/www.example.com_nginx/www.example.com.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
}

sudo nginx -t && sudo systemctl reload nginx

第四步：部署到腾讯云产品（可选）

用于 CDN、负载均衡（CLB）、COS、EdgeOne 等腾讯云产品时，不用下载：在证书详情里选择部署到云资源，勾选对应实例或域名即可。CDN 的 HTTPS 配置细节见 腾讯云 CDN 配置 HTTPS。

验证

配置正确时，证书链完整，到期时间与控制台一致。用 SSL 证书检查 检查，或在终端运行：

curl ssl.sh/www.example.com

私钥和证书是否配对可以用 私钥匹配检查 确认。

自动续期

免费证书到期不会自动续期：需要重新申请、验证、下载替换文件，或重新部署到云产品。公网证书最长有效期 2026 年 3 月 15 日起为 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，手动更换会越来越频繁。建议：

• 自己的服务器改用 acme.sh + DNSPod 自动签发和续期 Let's Encrypt 证书。
• 云产品使用证书托管或自动部署能力（是否可用、是否收费以控制台为准）。
• 把域名加到 ssl.sh 监控（开发中），到期前提醒。

常见问题排查

• 验证失败：TXT 记录主机名写错或未生效；文件验证路径不对、被 HTTPS 跳转到错误证书或被防盗链拦截。
• CAA 记录阻止签发：CAA 记录没有允许该证书的 CA，见 CAA 记录阻止签发。
• Nginx 报 key values mismatch：证书和私钥不是同一份下载包里的，见 nginx key values mismatch。
• 小程序或安卓提示证书不可信：用了不含中间证书的文件，改用 bundle 文件，见 缺少中间证书。
• 浏览器提示证书过期：到期没有更换，见 NET::ERR_CERT_DATE_INVALID。