Webflow SSL 证书：绑定域名、放行 CA 与报错排查

Webflow 会为每个自定义域名自动签发并续期 SSL 证书，CA 是 Let's Encrypt 或 Google Trust Services，前提是域名解析已经指向 Webflow；SSL 无法关闭。证书出问题，绝大多数是因为旧记录没删干净、少了 _webflow TXT 记录、CAA 只放行了其中一家，或者前面挂着 Cloudflare 代理。

内容以 Webflow 官方帮助中心为准（截至 2026 年 11 月），状态名和报错按官方英文原文列出。

Webflow 的证书是怎么来的

Webflow 看到你的解析记录后就会申请证书。帮助中心原文是 “Webflow provisions SSL certificates through two certificate authorities”，这两家是 Let's Encrypt 和 Google Trust Services（经由 Cloudflare，Webflow 的托管网络跑在 Cloudflare 上）。官方还说 “Your site's DNS records must point to Webflow before we can issue an SSL certificate”，记录指向正确后，通常几分钟内就会签好；DNS 改动在全球生效最长需要 48 小时。

只要解析一直指向 Webflow，续期是自动的。下一张证书可能由两家中的任意一家签发，所以 CAA 必须两家都放行。

把域名解析到 Webflow

先清理旧记录，再加三条新记录。连接之前，官方要求删掉根域名上所有 A 记录，以及要连接的主机名上所有 CNAME。然后在你的解析商（阿里云云解析 DNS、腾讯云 DNSPod、Cloudflare 等）添加：

想支持 IPv6 的话，官方还提供了根域名的 AAAA 记录 @ → 2620:cb:2000::1。DNS 服务器保持解析商默认的即可，Webflow 不需要你把域名的 DNS 服务器改成它的。

老网站要检查旧版记录。官方原文是 “As of January 13, 2026, you can't publish to a custom domain that points to Webflow's legacy DNS records.” 如果 www 的 CNAME 还指向 proxy-ssl.webflow.com，改成 cdn.webflow.com，根域名的旧 A 记录换成 198.202.211.1。

前面有 Cloudflare 的情况

普通托管模式下，指向 Webflow 的记录要设为 仅 DNS（灰色云朵）。Webflow 的 Cloudflare 说明里写着，出现 “525 Handshake Error” 意味着这些记录可能开了 Cloudflare 代理（橙色云朵）。确实要用代理的，官方提供了 Orange-to-Orange（O2O）方案：@ 和 www 用开启代理的 CNAME 指向 cdn.webflow.com。这种模式下 Webflow 里的域名验证会显示异常，官方说明 “This is expected, as the proxy hides your DNS records from Webflow's verification check.” 还有一个常见问题：“Cloudflare blocks Webflow from issuing SSL certificates for held zones”，开了 Zone Hold 的，要先解除，等证书签好再开回去。

CAA 记录：两家都要放行

域名有 CAA 记录 时，Webflow 要求加这两条：

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "pki.goog; cansignhttpexchanges=yes"

官方解释是 “If a CA isn't listed in your CAA records, it won't be allowed to issue a certificate for your site”，缺了这些记录，证书可能签不出来，也可能续不上。只放行 letsencrypt.org 的域名，可能平安用几个月，等某次续期轮到 Google Trust Services 时突然失败，这种问题很难第一时间想到。用 CAA 记录检查 确认实际生效的记录，原理见 CAA 记录阻止签发。

域名报错或证书迟迟不来怎么排查

Webflow 没有单独的“SSL pending”状态，域名验证通过、解析正确后，几分钟就会有证书。排查时先到 Site settings → Publishing → Production 看状态，每个域名下面都有状态和 Check status 按钮。常见的标签有 Update needed（域名还在用过时的记录）、Issues detected、Verify domain，TXT 记录被识别后会显示 Custom domain verified。

官方文章 “Why does my domain show an error status?” 列了四类原因，名称原文如下：

• “Incorrect nameservers”：域名没用解析商默认的 DNS 服务器，你加的记录没有生效。国内常见的情况是域名在阿里云注册，DNS 服务器却还指着以前的服务商。
• “DNS propagation issues”：改动还没传到所有解析器，最长等 48 小时。
• “Incorrect DNS records”：A、CNAME、TXT 的值和上表不一致。
• “Additional DNS records”：同一主机名上还有多余的 A、AAAA 或 CNAME 记录，和 Webflow 的记录冲突。

改好记录后，在每个域名下点 Check status，再重新发布网站。可以对照公网解析的实际结果：

dig +short A example.com
dig +short CNAME www.example.com
dig +short TXT _webflow.example.com
dig +short CAA example.com

强制 HTTPS 与 HSTS

Webflow 网站始终开启 HTTPS，官方原文是 “You cannot disable SSL on Webflow sites.” 想让所有域名都跳到同一个规范地址，在 Site settings → Publishing → Production 里给目标域名点 “Make default”，其他连接的域名会被重定向过去。

HSTS 的设置在 Site settings → Publishing → Advanced publishing options，可以开启 HSTS、包含子域名和发送预加载（preload）头。官方的安全响应头文档还说 “HSTS response headers are enabled automatically for all non-Enterprise sites and cannot be disabled.” 打开“包含子域名”或预加载之前，要先确认所有子域名（包括放在别处的，比如国内服务器上的 api.example.com）都有有效的 HTTPS，否则这些子域名会直接打不开。设置后用 HSTS 检查 确认，详细说明见 开启 HSTS。

处理混合内容

Webflow 上的混合内容，意思就是网站代码里有 HTTP 地址。官方的排查文章让你在浏览器控制台里找到这些地址，有 HTTPS 版本的就换成 HTTPS。重点检查站点和页面设置里的自定义代码、Embed 元素、链接字段、社交图标、视频字段和 CMS 的链接字段，从老网站导入的 CMS 数据里经常带着 http:// 地址。

用 混合内容扫描 列出已发布页面上的所有不安全资源，哪些会被浏览器直接拦截，见 混合内容警告。

能不能上传自己买的证书

只有企业版可以，原文是 “Custom SSL certificate uploads are only available for Enterprise customers.” 入口在 Site settings → Publishing → Custom SSL certificates → Add certificate。Webflow 要求 PEM 格式的 RSA 证书链和未加密的 PKCS#8 私钥，每个域名（包括 www）各上传一次，续期要自己来。公开证书 2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，自定义证书会变成一件频繁的手工活。需要转换私钥格式时，可以用 CSR 生成 和 证书格式转换。

验证

配置正确时，签发者是 Let's Encrypt 或 Google Trust Services（企业版是你自己的 CA），主域名和 www 都在证书里，证书链完整。发布后从外部检查主域名和 www：

curl ssl.sh/example.com
curl ssl.sh/www.example.com

也可以用网页版 SSL 证书检查。Webflow 不会提前很久续期，想在续期卡住时第一时间知道，可以把域名加入 ssl.sh 监控（开发中）。