WordPress.com HTTPS：免费证书、域名接入与证书 pending 排查

托管在 WordPress.com 上的网站都会自动获得免费的 Let's Encrypt 证书，由 WordPress.com 申请和续期，HTTPS 无法关闭。新接入的域名通常几分钟就有证书，最长不超过 24 小时。如果 Domain security 里一直显示 “SSL certificate pending”，说明域名解析没有正确指向 WordPress.com，或者 CAA、DNSSEC 记录挡住了签发。

内容以 WordPress.com 官方支持文档为准（截至 2026 年 11 月），状态名和报错按官方英文原文列出。只适用于托管在 WordPress.com 的网站，不适用于自建的 WordPress。

WordPress.com 的证书是怎么来的

证书是自动签发的，而且只来自一家 CA。官方原文是 “SSL certificates on WordPress.com come from the Let's Encrypt Certificate Authority.” 覆盖托管在 WordPress.com 上的所有域名和子域名，并且 “The certificate usually takes a few minutes to provision, but it can take up to 24 hours.” 接入自有域名时，连接状态变成 Active 后，WordPress.com 会自动签发免费证书。服务器支持 TLS 1.2 和 TLS 1.3。

不用买任何东西，官方把 SSL 描述为不需要自己购买或设置的功能。只要域名一直指向 WordPress.com，续期也是自动的。

不少做外贸、写英文博客的用户会在 WordPress.com 上建站，域名却在阿里云、腾讯云或 Namecheap 买的，这种情况就要先把下面的解析配好。

把域名解析到 WordPress.com

除非域名上已经跑着其他服务，否则推荐直接用 WordPress.com 的 DNS 服务器。官方给了两种方式：

• 改 DNS 服务器（域名上没有其他服务时推荐）： 在注册商那里把 DNS 服务器改成 ns1.wordpress.com、ns2.wordpress.com、ns3.wordpress.com。官方说 “Your name servers should be set to only the three values listed above”，如果保留了一个旧的 DNS 服务器，就会出现下文的 DNS 服务器混用错误。在阿里云域名控制台里，这一步叫“修改 DNS 服务器”。
• 加解析记录（已经在用企业邮箱等服务时）： 保留原解析商，按连接页面上的值添加：根域名两条 A 记录，分别用 “The first IP address shown on your connection screen” 和 “The second IP address shown on your connection screen”，再给 www 加一条指向你域名的 CNAME。

A 记录的 IP 要从你自己的连接页面上复制，不要照抄论坛帖子里的地址，官方文档特意没有写死这两个值。DNS 改动最长需要 72 小时生效。

设了 CAA 记录：放行 Let's Encrypt

域名有 CAA 记录 时，必须允许 Let's Encrypt 签发。WordPress.com 的报错里写了 CA 名称，但没有写记录值；Let's Encrypt 的 CAA 标识是 letsencrypt.org：

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

用 WordPress.com DNS 服务器的域名，在域名的 DNS 记录里添加（CAA 是 WordPress.com 支持添加的记录类型之一，官方的解释是它 “Controls which companies can create security certificates for your domain”）；DNS 在别处的，就在那边添加，比如 DNSPod 的记录类型里选 CAA。域名本来没有 CAA 记录的，不需要专门加。加完用 CAA 记录检查 确认，原理见 CAA 记录阻止签发。

一直显示 SSL certificate pending 怎么排查

证书一直 pending，说明域名解析没有正确指向 WordPress.com，或者 CAA、DNSSEC 记录挡住了签发。打开 Domains，点进域名，看 Domain security 一栏，状态会是 “SSL certificate active” 或 “SSL certificate pending”。WordPress.com 能判断出原因时，会显示下面的报错，原文如下：

• CAA 记录错误： “This domain has CAA DNS records that do not allow Let's Encrypt to issue a certificate. Please update or remove the CAA DNS records.”
• DNS 服务器混用错误： “This domain has a mixture of both WordPress.com and external name servers. Please update the NS records.”
• DNSSEC 验证错误： “This domain has DNSSEC validation errors. You may need to remove or update the DS Record data at your registrar.”

修好原因后，在 Domain security 里点 “Provision certificate” 按钮重新申请证书。如果看不到这个按钮，说明域名还没配置正确。官方按域名类型给出的处理方法：

• 在 WordPress.com 注册或转入的域名： 打开 “Use WordPress.com name servers”，在 DNS 记录的三点菜单里恢复默认的 A 和 CNAME 记录，等几个小时后再申请。
• 从外部连接的域名： 先完成连接；如果用的是 WordPress.com 的 DNS 服务器，要到注册商那里关闭 DNSSEC（删除 DS 记录）。

超过 24 小时网站还显示“不安全”，就修好 DNS 问题后手动申请。在此之前访客可能看到 NET::ERR_CERT_COMMON_NAME_INVALID，因为当前证书还不包含新域名，见 ERR_CERT_COMMON_NAME_INVALID。可以用下面的命令看公网解析：

dig +short NS example.com
dig +short A example.com
dig +short CAA example.com
dig +short DS example.com

强制 HTTPS：默认就开着，还带 HSTS

WordPress.com 默认强制 HTTPS，而且关不掉。官方原文是 “WordPress.com does not support disabling SSL. All insecure HTTP requests redirect to the secure HTTPS version.” 同时 “WordPress.com also sends a Strict-Transport-Security (HSTS) header with all HTTPS responses”，访问过一次的浏览器之后不会再用 HTTP 访问。将来要把域名迁走时要记住这一点，HSTS 的含义见术语页。

处理混合内容

WordPress.com 上的混合内容，通常来自用 http:// 加载资源的“嵌入”区块或“自定义 HTML”区块。官方的处理步骤：

1. 打开有警告的页面，打开浏览器控制台。
2. 刷新页面，找提到 mixed content 或 insecure content 的警告或错误。
3. 在编辑器里打开这篇文章或页面，找到包含不安全地址的区块。
4. 把地址里的 http:// 改成 https://，点 更新（Update）。
5. 清除浏览器缓存，刷新页面，看地址栏有没有小锁。

如果资源本身没有 HTTPS 版本，就把文件上传到你的 WordPress.com 网站，改用这份副本。用 混合内容扫描 可以一次列出整页的不安全地址，浏览器会拦截哪些资源见 混合内容警告。

能不能上传自己买的证书

没有上传入口。WordPress.com 的文档只介绍自己签发的 Let's Encrypt 证书，并把 SSL 作为包含在内、无需购买或安装的功能。如果业务确实需要某家 CA 的证书，比如客户要求 OV 证书，网站就得放在支持自定义证书的主机上。

验证

配置正确时，签发者是 Let's Encrypt，域名匹配，证书链完整。Domain security 显示证书已生效后，从外部检查主域名和 www：

curl ssl.sh/example.com
curl ssl.sh/www.example.com

也可以用网页版 SSL 证书检查。

续期与证书有效期变化

只要域名一直指向 WordPress.com，续期就是自动的。Let's Encrypt 从 2025 年 6 月 4 日起不再发送到期提醒邮件，默认证书 2027 年 2 月 10 日从 90 天改为 64 天，2028 年 2 月 16 日改为 45 天；公开证书自 2026 年 3 月 15 日起最长 200 天。改 DNS 时一旦弄坏续期，不会有人发邮件提醒你，可以把域名加入 ssl.sh 监控（开发中），从外部盯着。