申请证书前先确认你的域名在支持范围内,避免白忙一场。
支持的域名形式
| 写法 | 是否支持 | 说明 |
|---|---|---|
example.com(裸域) | ✅ | 主流场景 |
api.example.com(子域) | ✅ | 任意层级的子域 |
*.example.com(泛域名) | ✅ | 开头带一个 *. 即可,与裸域共用同一验证点 |
a.b.example.com(二级子域) | ✅ | 托管时需要单独添加 |
192.168.1.10(IP 地址) | ❌ | 见下文 |
google.com 等公网知名站点 | ❌ | 见下文 |
泛域名建议走托管
泛域名的验证点与裸域相同,托管裸域后 example.com 与 *.example.com 都能全自动申请,详见 泛域名与子域覆盖。
不支持 IP 地址
证书颁发机构(CA)不为公网 IP 签发 DV 证书,填 IP 会直接被拦截,提示「IP 地址不支持签发证书,请使用解析到该 IP 的域名申请」。内网 IP 同理。有 IP 直连需求的标准做法是:给一个域名解析到该 IP,然后用域名签证书。
不接受公网知名站点
google.com、github.com 这类公网知名站点会被拦截,提示「该域名属于公网知名站点,无法为其签发证书,请使用你自己拥有的域名申请」。
原因很直接:DNS-01 验证只证明「你能控制这个域名的解析」,证明不了「这个域名归你所有」。拦截知名站点是为了防止有人借验证机制冒充不属于自己的服务。
证书本身的边界
- 有效期固定 90 天(Let's Encrypt 政策),到期前重新申请即可,见 证书下载与删除。
- 泛域名
*只匹配一级:*.example.com不覆盖a.b.example.com与裸域,这与 Let's Encrypt 的通配符规则一致。 - 签发数量与频率受 Let's Encrypt 公共限额约束(同一注册域名每周签发上限),正常使用不会触达;大量域名批量签发时请分批进行。