# Webflow SSL 证书：解析记录、CAA、HSTS 与排查

> Webflow 自动签发 SSL 证书需要哪些解析记录：A、CNAME、_webflow TXT 怎么加，CAA 要放行哪两家 CA，域名报错和 Cloudflare 525 怎么排查。

Source: https://ssl.sh/zh/guides/webflow-ssl/
Last updated: 2026-11-10

Webflow 会为每个自定义域名自动签发并续期 SSL 证书，CA 是 Let's Encrypt 或 Google Trust Services，前提是域名解析已经指向 Webflow；SSL 无法关闭。证书出问题，绝大多数是因为旧记录没删干净、少了 `_webflow` TXT 记录、CAA 只放行了其中一家，或者前面挂着 Cloudflare 代理。

内容以 Webflow 官方帮助中心为准（截至 2026 年 11 月），状态名和报错按官方英文原文列出。

## Webflow 的证书是怎么来的

Webflow 看到你的解析记录后就会申请证书。帮助中心原文是 “Webflow provisions SSL certificates through two certificate authorities”，这两家是 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 和 [Google Trust Services](https://ssl.sh/zh/cas/google-trust-services/)（经由 Cloudflare，Webflow 的托管网络跑在 Cloudflare 上）。官方还说 “Your site's DNS records must point to Webflow before we can issue an SSL certificate”，记录指向正确后，通常几分钟内就会签好；DNS 改动在全球生效最长需要 48 小时。

只要解析一直指向 Webflow，续期是自动的。下一张证书可能由两家中的任意一家签发，所以 CAA 必须两家都放行。

## 把域名解析到 Webflow

先清理旧记录，再加三条新记录。连接之前，官方要求删掉根域名上所有 A 记录，以及要连接的主机名上所有 CNAME。然后在你的解析商（阿里云云解析 DNS、腾讯云 DNSPod、Cloudflare 等）添加：

| 记录类型 | 主机记录 | 记录值 |
|---|---|---|
| A | `@` | `198.202.211.1` |
| CNAME | `www` | `cdn.webflow.com` |
| TXT | `_webflow` | `one-time-verification=…`（从 Site settings 里复制完整值） |

想支持 IPv6 的话，官方还提供了根域名的 AAAA 记录 `@` → `2620:cb:2000::1`。DNS 服务器保持解析商默认的即可，Webflow 不需要你把域名的 DNS 服务器改成它的。

老网站要检查旧版记录。官方原文是 “As of January 13, 2026, you can't publish to a custom domain that points to Webflow's legacy DNS records.” 如果 `www` 的 CNAME 还指向 `proxy-ssl.webflow.com`，改成 `cdn.webflow.com`，根域名的旧 A 记录换成 `198.202.211.1`。

### 前面有 Cloudflare 的情况

普通托管模式下，指向 Webflow 的记录要设为 **仅 DNS**（灰色云朵）。Webflow 的 Cloudflare 说明里写着，出现 “525 Handshake Error” 意味着这些记录可能开了 Cloudflare 代理（橙色云朵）。确实要用代理的，官方提供了 Orange-to-Orange（O2O）方案：`@` 和 `www` 用开启代理的 CNAME 指向 `cdn.webflow.com`。这种模式下 Webflow 里的域名验证会显示异常，官方说明 “This is expected, as the proxy hides your DNS records from Webflow's verification check.” 还有一个常见问题：“Cloudflare blocks Webflow from issuing SSL certificates for held zones”，开了 Zone Hold 的，要先解除，等证书签好再开回去。

## CAA 记录：两家都要放行

域名有 [CAA 记录](https://ssl.sh/zh/glossary/caa/) 时，Webflow 要求加这两条：

```text
example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "pki.goog; cansignhttpexchanges=yes"
```

官方解释是 “If a CA isn't listed in your CAA records, it won't be allowed to issue a certificate for your site”，缺了这些记录，证书可能签不出来，也可能续不上。只放行 `letsencrypt.org` 的域名，可能平安用几个月，等某次续期轮到 Google Trust Services 时突然失败，这种问题很难第一时间想到。用 [CAA 记录检查](https://ssl.sh/zh/tools/caa-checker/) 确认实际生效的记录，原理见 [CAA 记录阻止签发](https://ssl.sh/zh/errors/caa-record-prevents-issuance/)。

## 域名报错或证书迟迟不来怎么排查

Webflow 没有单独的“SSL pending”状态，域名验证通过、解析正确后，几分钟就会有证书。排查时先到 **Site settings → Publishing → Production** 看状态，每个域名下面都有状态和 Check status 按钮。常见的标签有 Update needed（域名还在用过时的记录）、Issues detected、Verify domain，TXT 记录被识别后会显示 Custom domain verified。

官方文章 “Why does my domain show an error status?” 列了四类原因，名称原文如下：

- **“Incorrect nameservers”**：域名没用解析商默认的 DNS 服务器，你加的记录没有生效。国内常见的情况是域名在阿里云注册，DNS 服务器却还指着以前的服务商。
- **“DNS propagation issues”**：改动还没传到所有解析器，最长等 48 小时。
- **“Incorrect DNS records”**：A、CNAME、TXT 的值和上表不一致。
- **“Additional DNS records”**：同一主机名上还有多余的 A、AAAA 或 CNAME 记录，和 Webflow 的记录冲突。

改好记录后，在每个域名下点 **Check status**，再重新发布网站。可以对照公网解析的实际结果：

```bash
dig +short A example.com
dig +short CNAME www.example.com
dig +short TXT _webflow.example.com
dig +short CAA example.com
```

## 强制 HTTPS 与 HSTS

Webflow 网站始终开启 HTTPS，官方原文是 “You cannot disable SSL on Webflow sites.” 想让所有域名都跳到同一个规范地址，在 **Site settings → Publishing → Production** 里给目标域名点 “Make default”，其他连接的域名会被重定向过去。

[HSTS](https://ssl.sh/zh/glossary/hsts/) 的设置在 **Site settings → Publishing → Advanced publishing options**，可以开启 HSTS、包含子域名和发送预加载（preload）头。官方的安全响应头文档还说 “HSTS response headers are enabled automatically for all non-Enterprise sites and cannot be disabled.” 打开“包含子域名”或预加载之前，要先确认所有子域名（包括放在别处的，比如国内服务器上的 `api.example.com`）都有有效的 HTTPS，否则这些子域名会直接打不开。设置后用 [HSTS 检查](https://ssl.sh/zh/tools/hsts-checker/) 确认，详细说明见 [开启 HSTS](https://ssl.sh/zh/guides/enable-hsts/)。

## 处理混合内容

Webflow 上的混合内容，意思就是网站代码里有 HTTP 地址。官方的排查文章让你在浏览器控制台里找到这些地址，有 HTTPS 版本的就换成 HTTPS。重点检查站点和页面设置里的自定义代码、Embed 元素、链接字段、社交图标、视频字段和 CMS 的链接字段，从老网站导入的 CMS 数据里经常带着 `http://` 地址。

用 [混合内容扫描](https://ssl.sh/zh/tools/mixed-content-scanner/) 列出已发布页面上的所有不安全资源，哪些会被浏览器直接拦截，见 [混合内容警告](https://ssl.sh/zh/errors/mixed-content-warning/)。

## 能不能上传自己买的证书

只有企业版可以，原文是 “Custom SSL certificate uploads are only available for Enterprise customers.” 入口在 **Site settings → Publishing → Custom SSL certificates → Add certificate**。Webflow 要求 PEM 格式的 RSA 证书链和未加密的 PKCS#8 私钥，每个域名（包括 `www`）各上传一次，续期要自己来。公开证书 2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，自定义证书会变成一件频繁的手工活。需要转换私钥格式时，可以用 [CSR 生成](https://ssl.sh/zh/tools/csr-generator/) 和 [证书格式转换](https://ssl.sh/zh/tools/ssl-converter/)。

## 验证

配置正确时，签发者是 Let's Encrypt 或 Google Trust Services（企业版是你自己的 CA），主域名和 www 都在证书里，证书链完整。发布后从外部检查主域名和 www：

```bash
curl ssl.sh/example.com
curl ssl.sh/www.example.com
```

也可以用网页版 [SSL 证书检查](https://ssl.sh/zh/tools/ssl-checker/)。Webflow 不会提前很久续期，想在续期卡住时第一时间知道，可以把域名加入 [ssl.sh 监控](https://ssl.sh/zh/monitor/)（开发中）。