# Wix SSL 证书：自动 HTTPS、域名指向、CAA 与排查

> Wix 自动签发 SSL 证书的前提：指向法要加的 A 和 CNAME 记录，CAA 和 DNSSEC 为什么会挡住签发，网站显示不安全时怎么排查，企业版自定义证书有哪些要求。

Source: https://ssl.sh/zh/guides/wix-ssl/
Last updated: 2026-11-10

Wix 网站的 SSL 证书在域名连接后自动生成，用户不用申请、安装或续期，HTTPS 也没法关闭。通常更新解析记录后 48 小时内证书就会到位。如果网站还是显示不安全，原因一般是解析记录不对、开着 DNSSEC、有 CAA 记录，或者嵌入代码里有 `http://` 地址。

内容以 Wix 官方帮助中心为准（截至 2026 年 11 月），提示文字按官方英文原文列出。

## Wix 的证书是怎么来的

Wix 一看到域名指向你的网站，就会生成证书。帮助中心原文是 “Once you connect your domain, the SSL certificate will automatically be generated”，并且 “Wix automatically generates a certificate for each custom domain and subdomain connected to your site.” 域名助手里给出的时间是：“The SSL certificate is automatically generated within 48 hours of updating your DNS records.”

Wix 的常规 SSL 文档没有写证书由哪家 CA 签发，企业版自定义证书的文档里提到了：自定义证书快到期时，Wix 会 “through Let's Encrypt or Google” 为域名签发新证书。所以检查网站时，签发者通常是 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 或 [Google Trust Services](https://ssl.sh/zh/cas/google-trust-services/)。域名或子域名如果连接到非 Wix 的外部网站，Wix 不提供 SSL。

## 把域名解析到 Wix

Wix 有两种连接方式：改 DNS 服务器（name servers）或指向法（pointing）。改 DNS 服务器是在注册商那里换成 Wix 显示的那一对 DNS 服务器，帮助中心让你 “replace them with the Wix name servers shown on the screen”，因为每个账户分配到的不一样，之后所有记录都在 Wix 里管理。指向法则保留原来的解析商，比如阿里云云解析 DNS、腾讯云 DNSPod 或 Cloudflare，只加两条记录：

| 记录类型 | 主机记录 | 记录值 |
|---|---|---|
| A | `@`（或留空） | `185.230.63.107` |
| CNAME | `www` | `pointing.wixdns.net` |

根域名上其他的 A 记录、`www` 的旧记录都要删掉。Wix 明确写着 “does not support the use of Domain Name System Security Extensions (DNSSEC) or DNS Proxies like Cloudflare for domains connected by pointing”，所以要在注册商那里关闭 DNSSEC，Cloudflare 上的记录设为“仅 DNS”。如果域名是在 Wix 买的，解析记录在 **Domains → Domain Actions → Manage DNS Records**，那里还能一键恢复默认记录。

两种方式怎么选：企业邮箱、各种平台验证记录都已经在国内解析商那里配好了的，用指向法改动最小；新买的域名、没有其他业务的，直接改 DNS 服务器最简单。Wix 买的域名如果改用自定义 DNS 服务器，官方提醒 Wix “can no longer renew your site's SSL certificate through your domain's DNS, so check your SSL status after the change.”

## CAA 记录：建议删掉，或者放行 Let's Encrypt 和 Google

Wix 的官方建议是删除指向法域名上的 [CAA 记录](https://ssl.sh/zh/glossary/caa/)。帮助中心的功能请求页写着 “Currently, CAA records are not supported by Wix”，并要求用指向法连接的用户到域名服务商那里删掉已有的 CAA 记录。企业版文档给出了原因：如果域名的 CAA 记录 “doesn't list Let's Encrypt or Google as permitted issuers”，Wix 就签不出替换用的证书。

如果因为别的业务必须保留 CAA，至少要放行 Wix 提到的两家：

```text
example.com.  3600  IN  CAA  0 issue "letsencrypt.org"
example.com.  3600  IN  CAA  0 issue "pki.goog"
```

`letsencrypt.org` 是 Let's Encrypt 的 CAA 标识，`pki.goog` 是 Google Trust Services 的标识。Wix 自己没有公布这两个字符串，所以官方支持的做法仍然是删掉 CAA。可以用 [CAA 记录检查](https://ssl.sh/zh/tools/caa-checker/) 看实际生效的记录，原理见 [CAA 记录阻止签发](https://ssl.sh/zh/errors/caa-record-prevents-issuance/)。

## 网站显示不安全时怎么排查

Wix 没有公布类似“pending”的 SSL 状态名，只能按现象排查。帮助中心的排查文章分四步，标题原文如下：

1. **“Make sure your DNS records are correct”**：指向法要求 `@` → `185.230.63.107`、`www` → `pointing.wixdns.net`；改 DNS 服务器的，要确认注册商那里填的是 Wix 给的那一对。Wix 托管的记录被改过的话，可以恢复默认。
2. **“Wait until your domain has propagated”**：每次改完 DNS，最长等 48 小时。
3. **“Ensure that DNSSEC is not signed”**：在别处买的域名，请注册商确认 DNSSEC 已关闭；Wix 买的域名本身就没有签名。
4. **“Ensure only HTTPS code is entered in the HTML element”**：否则浏览器会提示网站 “not fully secure”，处理方法见下面的混合内容一节。

Wix 还提到 “Older operating systems can sometimes fail to recognise a modern SSL Certificate”。如果只有某台老设备报错，升级系统即可，不是网站证书的问题。用下面的命令查看公网解析：

```bash
dig +short A example.com
dig +short CNAME www.example.com
dig +short CAA example.com
dig +short DS example.com
```

`DS` 查询没有结果，说明注册商那里没有开启 DNSSEC。

## 强制 HTTPS：一直开着

Wix 默认强制 HTTPS，而且关不掉。帮助中心说 “All new sites created on Wix have HTTPS automatically enabled”，使用 TLS 1.2 及以上版本，并且无法手动关闭 Wix 网站的 SSL 证书。Wix 的帮助中心没有提供 HSTS 的设置说明，想知道有没有发送这个响应头，可以用 [HSTS 检查](https://ssl.sh/zh/tools/hsts-checker/) 看一下。

## 处理混合内容

在 Wix 上，混合内容几乎都来自 HTML 嵌入元素。官方的处理方法是：在编辑器里打开这个元素，点 **Edit Code**，删掉 `http://` 代码或改成 `https://`，然后发布；网站上每个 HTML 元素都要这样检查一遍。常见的来源有第三方小部件、iframe、统计和广告代码，以及从别的服务器引用的图片。如果某个第三方资源没有 HTTPS 版本，就换掉或删掉。

用 [混合内容扫描](https://ssl.sh/zh/tools/mixed-content-scanner/) 列出每个页面上的不安全地址，浏览器怎么处理这些资源见 [混合内容警告](https://ssl.sh/zh/errors/mixed-content-warning/)。

## 能不能上传自己买的证书

只有企业版可以。官方原文是 “Custom SSL certificates are available on Enterprise accounts only, and need to be enabled for your account.” 证书只能包含两个名称：主域名和它的 www 版本；私钥不超过 2048 位；剩余有效期至少 3 个月。安装入口是 **Domains → Domain Actions → Install SSL certificate**，如果域名页面上没有 SSL certificate 这一列，说明账户还没开通。自定义证书到期前大约 20 天，Wix 会通过 Let's Encrypt 或 Google 签发自己的证书顶上，前提是 CAA 没有挡住。2026 年 3 月 15 日起公开证书最长 200 天，2027 年 3 月 15 日起 100 天，用自定义证书意味着每年至少手动换两次。

## 验证

配置正确时，签发者是 Let's Encrypt 或 Google Trust Services（企业版是你自己的 CA），域名匹配，证书链完整。等解析生效后，从外部检查主域名和 www：

```bash
curl ssl.sh/example.com
curl ssl.sh/www.example.com
```

也可以用网页版 [SSL 证书检查](https://ssl.sh/zh/tools/ssl-checker/)。只要解析一直指向 Wix，续期是自动的；改过 DNS 之后要复查，也可以把域名加入 [ssl.sh 监控](https://ssl.sh/zh/monitor/)（开发中），证书快过期时能及时知道。