---
title: "自动证书与续期"
description: "启用自动证书、验证域名可达性，并检查签发、续期及失败状态。"
---

> Documentation Index
> Fetch the complete documentation index at: https://cdelivery.dev/llms.txt
> Use this file to discover all available pages before exploring further.

# 自动证书与续期

自动证书用于为启用 HTTPS 的应用域名取得并续期证书。管理员在 Pingress 的证书页面管理自动签发；应用操作者仍需在应用路由中开启 HTTPS。

启用 Pingress 时默认勾选自动证书，也可取消勾选，之后从证书页面开启。

创建接口省略 `acme` 时默认使用 `"LetsEncrypt"`；纯 HTTP 或手动证书场景显式传入 `"acme": null`，这会清除保留的账户和自动证书，保留手动上传的证书。

## 签发前检查

- Pingress 已启用且有运行实例。
- 域名规则指向正确的应用容器端口，并开启 HTTPS。
- 域名 DNS 指向实际入口，配置了 AAAA 时 IPv6 也必须可用。
- 服务器能够访问证书机构。
- 使用 HTTP 验证时，公网 TCP 80 及验证路径能够到达 Pingress。

常用 HTTP-01 流程依赖公开的 HTTP 入口，证书机构的验证方式见 [Let's Encrypt 说明](https://letsencrypt.org/docs/challenge-types/)。

## 启用并检查证书

1. 以 Admin 登录，打开 **Pingress → 证书**。
2. 如果启用 Pingress 时未开启自动证书，在此开启。
3. 在应用中保存启用 HTTPS 的域名规则。
4. 返回证书列表，查看该域名的来源、有效期和状态。
5. 使用实际域名访问 HTTPS，验证证书覆盖该域名且业务正常。

平台在后台签发证书，通常每 5 分钟检查新证书、每 8 小时检查续期。具体续期时间依据证书有效期和证书机构提供的信息决定。

## 检查 HTTP 验证入口

```sh
curl -i http://app.example.com/.well-known/acme-challenge/healthz
```

将域名替换为实际域名，预期返回 HTTP 200。

前置代理、CDN、登录保护或重定向规则可能改变验证请求。确保验证路径可以正确到达 Pingress；CDelivery 的预检查不会跟随重定向。

## 续期与自定义证书

自动续期要求域名仍然被使用、自动证书保持启用，而且验证条件持续满足。更改 DNS、服务器或防火墙后，应重新确认这些条件。

手动上传的证书由你负责续期，不会因为启用了自动证书就自动替换。对应操作见[自定义证书](/docs/zh-cn/guides/networking/custom-certificates/)。

接口还支持取决于证书机构能力的持久 DNS 验证配置；控制台没有通用 DNS 服务商凭据表单。不要把其他 ACME 工具的 DNS-01 操作步骤直接套用为当前界面功能。

## 签发或续期失败

| 现象 | 检查方向 |
| --- | --- |
| 证书一直缺失 | HTTPS 规则、自动证书开关、后台处理是否有错误 |
| HTTP 预检查失败 | DNS、80 端口、验证路径及前置代理 |
| IPv4 正常但验证失败 | AAAA 记录对应的 IPv6 路径 |
| 证书机构拒绝 | 域名资格、验证结果、账户状态及频率限制 |
| HTTPS 正常但证书即将过期 | 续期错误、当前证书来源、持续可达性 |

自动证书账户准备成功后才会部署 Pingress。部署失败时，账户会保留供重试。Pingress 尚不存在且没有自动证书时，可通过 API 改选其他受支持的 CA。

先修正错误原因，再等待后台处理。反复关闭并开启自动证书不能替代网络排查，还可能改变账户相关配置。

Source: https://cdelivery.dev/docs/zh-cn/guides/networking/automatic-certificates/index.mdx