---
title: "自動憑證與續期"
description: "啟用自動憑證、驗證網域可達性，並檢查簽發、續期及失敗狀態。"
---

> Documentation Index
> Fetch the complete documentation index at: https://cdelivery.dev/llms.txt
> Use this file to discover all available pages before exploring further.

# 自動憑證與續期

自動憑證用於為啟用 HTTPS 的應用程式網域取得並續期憑證。管理員在 Pingress 的憑證頁面管理自動簽發；應用程式操作者仍需在應用程式路由中開啟 HTTPS。

啟用 Pingress 時預設勾選自動憑證，也可取消勾選，之後從憑證頁面開啟。

建立接口省略 `acme` 時預設使用 `"LetsEncrypt"`；純 HTTP 或手動憑證情境請明確傳入 `"acme": null`，這會清除保留的帳戶和自動憑證，保留手動上傳的憑證。

## 簽發前檢查

- Pingress 已啟用且有執行實例。
- 網域規則指向正確的應用程式容器連接埠，並開啟 HTTPS。
- 網域 DNS 指向實際入口，設定了 AAAA 時 IPv6 也必須可用。
- 伺服器能夠存取憑證機構。
- 使用 HTTP 驗證時，公網 TCP 80 及驗證路徑能夠到達 Pingress。

常用 HTTP-01 流程依賴公開的 HTTP 入口，憑證機構的驗證方式見 [Let's Encrypt 說明](https://letsencrypt.org/docs/challenge-types/)。

## 啟用並檢查憑證

1. 以 Admin 登入，打開 **Pingress → 憑證**。
2. 如果啟用 Pingress 時未開啟自動憑證，在此開啟。
3. 在應用程式中儲存啟用 HTTPS 的網域規則。
4. 回傳憑證清單，查看該網域的來源、有效期和狀態。
5. 使用實際網域存取 HTTPS，驗證憑證覆蓋該網域且業務正常。

平台在背景簽發憑證，通常每 5 分鐘檢查新憑證、每 8 小時檢查續期。具體續期時間依據憑證有效期和憑證機構提供的資訊決定。

## 檢查 HTTP 驗證入口

```sh
curl -i http://app.example.com/.well-known/acme-challenge/healthz
```

將網域替換為實際網域，預期回傳 HTTP 200。

前置代理、CDN、登入保護或重定向規則可能改變驗證請求。確保驗證路徑可以正確到達 Pingress；CDelivery 的預檢查不會跟隨重定向。

## 續期與自訂憑證

自動續期要求網域仍然被使用、自動憑證保持啟用，而且驗證條件持續滿足。更改 DNS、伺服器或防火牆後，應重新確認這些條件。

手動上傳的憑證由你負責續期，不會因為啟用了自動憑證就自動替換。對應操作見[自訂憑證](/docs/zh-tw/guides/networking/custom-certificates/)。

接口還支援取決於憑證機構能力的持久 DNS 驗證設定；控制台沒有通用 DNS 服務商憑據表單。不要把其他 ACME 工具的 DNS-01 操作步驟直接套用為當前界面功能。

## 簽發或續期失敗

| 現象 | 檢查方向 |
| --- | --- |
| 憑證一直缺失 | HTTPS 規則、自動憑證開關、後台處理是否有錯誤 |
| HTTP 預檢查失敗 | DNS、80 連接埠、驗證路徑及前置代理 |
| IPv4 正常但驗證失敗 | AAAA 記錄對應的 IPv6 路徑 |
| 憑證機構拒絕 | 網域資格、驗證結果、帳戶狀態及頻率限制 |
| HTTPS 正常但憑證即將過期 | 續期錯誤、當前憑證來源、持續可達性 |

自動憑證帳戶準備成功後才會部署 Pingress。部署失敗時，帳戶會保留供重試。Pingress 尚不存在且沒有自動憑證時，可透過 API 改選其他支援的 CA。

先修正錯誤原因，再等待後台處理。反復關閉並開啟自動憑證不能替代網路排查，還可能改變帳戶相關設定。

Source: https://cdelivery.dev/docs/zh-tw/guides/networking/automatic-certificates/index.mdx