# 腾讯云 SSL 证书申请与部署：免费证书、验证方式、安装教程

> 在腾讯云 SSL 证书控制台申请免费 DV 证书：选择自动 DNS、手动 DNS 或文件验证，下载 Nginx 格式安装到服务器，或一键部署到 CDN、负载均衡。

Source: https://ssl.sh/zh/guides/tencent-cloud-ssl-certificate/
Last updated: 2026-11-10

腾讯云 SSL 证书控制台可以申请免费 DV 证书：提交域名，用自动 DNS、手动 DNS 或文件方式完成验证，签发后下载 Nginx 格式装到服务器，或直接部署到 CDN、负载均衡等腾讯云产品。

适用于截至 2026 年 11 月的腾讯云 SSL 证书控制台，免费额度、有效期和菜单名称以控制台为准。

## 前提条件

申请前准备好域名和验证方式。

- 已实名认证的腾讯云账号，能访问 SSL 证书控制台。
- 要申请证书的域名，例如 `www.example.com`；部署在中国境内服务器或 CDN 上的，域名需已备案。
- DNS 验证：能修改域名解析（在 DNSPod 解析的可以自动验证）。
- 文件验证：网站能通过 HTTP/HTTPS 访问，可以在网站根目录下放文件。

## 第一步：申请免费证书

免费证书在 SSL 证书控制台的“我的证书”里申请。登录腾讯云 SSL 证书控制台，进入 **我的证书 → 申请免费证书**，填写：

- **证书绑定域名**：填 `www.example.com`（免费证书只能填一个域名）。
- **申请邮箱、所属项目**：按需填写。
- **私钥密码**：建议留空（原因见常见问题）。

## 第二步：选择验证方式并完成验证

腾讯云提供三种验证方式，域名解析在 DNSPod 时选自动 DNS 验证，不用手动加记录：

- **自动 DNS 验证**：域名在 DNSPod 时自动添加记录。
- **手动 DNS 验证**：在 DNS 服务商添加控制台给出的 TXT 记录（主机记录和记录值以页面为准）。
- **文件验证**：下载验证文件，放到网站 `/.well-known/pki-validation/` 目录下，保证能从公网访问。

各方式的适用场景见腾讯云文档“如何选择域名验证方式”。手动 DNS 验证时可以先确认记录已生效：

```bash
dig +short TXT _dnsauth.www.example.com
```

记录名以控制台给出的为准。验证通过后等待签发，通常几分钟到几小时。

## 第三步：下载并安装到服务器

签发后在证书列表点“下载”，选择 Nginx 格式。压缩包里通常有带 `bundle` 字样的证书文件（含中间证书）和 `.key` 私钥文件，文件名以下载包为准。上传到服务器：

```bash
sudo mkdir -p /etc/nginx/ssl
sudo unzip www.example.com_nginx.zip -d /etc/nginx/ssl/
sudo chmod 600 /etc/nginx/ssl/*/*.key
find /etc/nginx/ssl -type f
```

按实际文件名在 Nginx 配置里引用：

```nginx
server {
    listen 443 ssl;
    server_name www.example.com;
    ssl_certificate     /etc/nginx/ssl/www.example.com_nginx/www.example.com_bundle.crt;
    ssl_certificate_key /etc/nginx/ssl/www.example.com_nginx/www.example.com.key;
    ssl_protocols       TLSv1.2 TLSv1.3;
}
```

```bash
sudo nginx -t && sudo systemctl reload nginx
```

## 第四步：部署到腾讯云产品（可选）

用于 CDN、负载均衡（CLB）、COS、EdgeOne 等腾讯云产品时，不用下载：在证书详情里选择部署到云资源，勾选对应实例或域名即可。CDN 的 HTTPS 配置细节见 [腾讯云 CDN 配置 HTTPS](https://ssl.sh/zh/guides/tencent-cloud-cdn-https/)。

## 验证

配置正确时，证书链完整，到期时间与控制台一致。用 [SSL 证书检查](https://ssl.sh/zh/tools/ssl-checker/) 检查，或在终端运行：

```bash
curl ssl.sh/www.example.com
```

私钥和证书是否配对可以用 [私钥匹配检查](https://ssl.sh/zh/tools/key-matcher/) 确认。

## 自动续期

免费证书到期不会自动续期：需要重新申请、验证、下载替换文件，或重新部署到云产品。公网证书最长有效期 2026 年 3 月 15 日起为 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，手动更换会越来越频繁。建议：

- 自己的服务器改用 [acme.sh + DNSPod](https://ssl.sh/zh/guides/acme-sh-dnspod-aliyun-dns/) 自动签发和续期 Let's Encrypt 证书。
- 云产品使用证书托管或自动部署能力（是否可用、是否收费以控制台为准）。
- 把域名加到 [ssl.sh 监控](https://ssl.sh/zh/monitor/)（开发中），到期前提醒。

## 常见问题排查

- **验证失败**：TXT 记录主机名写错或未生效；文件验证路径不对、被 HTTPS 跳转到错误证书或被防盗链拦截。
- **CAA 记录阻止签发**：CAA 记录没有允许该证书的 CA，见 [CAA 记录阻止签发](https://ssl.sh/zh/errors/caa-record-prevents-issuance/)。
- **Nginx 报 key values mismatch**：证书和私钥不是同一份下载包里的，见 [nginx key values mismatch](https://ssl.sh/zh/errors/nginx-key-values-mismatch/)。
- **小程序或安卓提示证书不可信**：用了不含中间证书的文件，改用 bundle 文件，见 [缺少中间证书](https://ssl.sh/zh/errors/missing-intermediate-certificate/)。
- **浏览器提示证书过期**：到期没有更换，见 [NET::ERR_CERT_DATE_INVALID](https://ssl.sh/zh/errors/net-err-cert-date-invalid/)。