自动证书用于为启用 HTTPS 的应用域名取得并续期证书。管理员在 Pingress 的证书页面管理自动签发；应用操作者仍需在应用路由中开启 HTTPS。
启用 Pingress 时默认勾选自动证书，也可取消勾选，之后从证书页面开启。
创建接口省略 acme 时默认使用 "LetsEncrypt"；纯 HTTP 或手动证书场景显式传入 "acme": null，这会清除保留的账户和自动证书，保留手动上传的证书。
签发前检查
- Pingress 已启用且有运行实例。
- 域名规则指向正确的应用容器端口，并开启 HTTPS。
- 域名 DNS 指向实际入口，配置了 AAAA 时 IPv6 也必须可用。
- 服务器能够访问证书机构。
- 使用 HTTP 验证时，公网 TCP 80 及验证路径能够到达 Pingress。
常用 HTTP-01 流程依赖公开的 HTTP 入口，证书机构的验证方式见 Let’s Encrypt 说明。
启用并检查证书
- 以 Admin 登录，打开 Pingress → 证书。
- 如果启用 Pingress 时未开启自动证书，在此开启。
- 在应用中保存启用 HTTPS 的域名规则。
- 返回证书列表，查看该域名的来源、有效期和状态。
- 使用实际域名访问 HTTPS，验证证书覆盖该域名且业务正常。
平台在后台签发证书，通常每 5 分钟检查新证书、每 8 小时检查续期。具体续期时间依据证书有效期和证书机构提供的信息决定。
检查 HTTP 验证入口
curl -i http://app.example.com/.well-known/acme-challenge/healthz将域名替换为实际域名，预期返回 HTTP 200。
前置代理、CDN、登录保护或重定向规则可能改变验证请求。确保验证路径可以正确到达 Pingress；CDelivery 的预检查不会跟随重定向。
续期与自定义证书
自动续期要求域名仍然被使用、自动证书保持启用，而且验证条件持续满足。更改 DNS、服务器或防火墙后，应重新确认这些条件。
手动上传的证书由你负责续期，不会因为启用了自动证书就自动替换。对应操作见自定义证书。
接口还支持取决于证书机构能力的持久 DNS 验证配置；控制台没有通用 DNS 服务商凭据表单。不要把其他 ACME 工具的 DNS-01 操作步骤直接套用为当前界面功能。
签发或续期失败
| 现象 | 检查方向 |
|---|---|
| 证书一直缺失 | HTTPS 规则、自动证书开关、后台处理是否有错误 |
| HTTP 预检查失败 | DNS、80 端口、验证路径及前置代理 |
| IPv4 正常但验证失败 | AAAA 记录对应的 IPv6 路径 |
| 证书机构拒绝 | 域名资格、验证结果、账户状态及频率限制 |
| HTTPS 正常但证书即将过期 | 续期错误、当前证书来源、持续可达性 |
自动证书账户准备成功后才会部署 Pingress。部署失败时，账户会保留供重试。Pingress 尚不存在且没有自动证书时，可通过 API 改选其他受支持的 CA。
先修正错误原因，再等待后台处理。反复关闭并开启自动证书不能替代网络排查，还可能改变账户相关配置。