如何在 Plesk 中安装免费的 Let's Encrypt SSL 证书（图文教程）

Let’s Encrypt 是受所有主流浏览器信任的免费 SSL/TLS 证书颁发机构，Plesk 只需几次点击即可安装其证书并自动续期。本文以图文方式逐步讲解：申请证书前检查 DNS、选择覆盖 www/webmail/邮件的选项、强制 HTTPS，以及常见错误的排查方法。

为什么网站需要 SSL（HTTPS）

• 加密传输：浏览器与服务器之间的数据（密码、联系表单、订单信息）会被加密，中间人无法窃听或篡改（中间人攻击）。
• 验证网站身份：证书与域名绑定，访客可以确认自己连接的是该域名的真实服务器。
• 不再显示“不安全”警告：现代浏览器会对所有 HTTP 页面发出警告，访客会因此不敢填写信息。
• 有利于 SEO：Google 将 HTTPS 作为排名信号之一，许多新的浏览器功能也只能在 HTTPS 下使用。

Let’s Encrypt 免费签发域名验证（DV）证书，加密强度与付费证书相同，区别在于没有组织身份验证（OV/EV），也不提供保险（warranty）。

申请证书前的准备

1. 域名必须已解析到 Plesk 服务器 —— A 记录（以及 www）必须是托管网站的服务器 IP，因为 Let’s Encrypt 会通过 80 端口访问 http://您的域名/.well-known/acme-challenge/ 下的验证文件。如果刚迁移域名，请等待 DNS 生效。
2. 如果有 AAAA（IPv6）记录，也必须指向同一台服务器。若服务器未使用 IPv6，请删除 AAAA 记录，否则验证可能失败。
3. 80 端口必须开放，不能被防火墙拦截（HTTP-01 验证只能使用 80 端口）。
4. 使用 Cloudflare 时：请将 SSL/TLS 模式设为 Full (strict)。如果在开启代理（橙色云朵）时申请失败，可将主域名和 www 记录临时切换为 DNS only（灰色云朵），证书签发完成后再重新开启代理。

可用以下命令检查域名解析到哪个 IP（Windows 上请使用 nslookup），结果应与 Websites & Domains 中显示的主机 IP 一致：

dig +short A example.com
dig +short A www.example.com
dig +short AAAA example.com

在 Plesk 中安装 Let’s Encrypt 证书的步骤

在 Plesk Obsidian 中，证书管理页面由默认已安装的 SSL It! 扩展提供，Let’s Encrypt 扩展作为其插件在后台工作（自 Plesk Obsidian 18.0.22 起，只能通过 SSL It! 签发 Let’s Encrypt 证书）。下面的截图来自 Dot Enterprise 自己的面板（Plesk Obsidian 18.0.80）；其他 Plesk 版本和主题中按钮名称和位置可能略有不同，但步骤顺序相同。界面为英文，下文保留英文按钮名称。

第 1 步：打开 Websites & Domains

登录 Plesk，点击左侧菜单中的 Websites & Domains，即可看到账户中的所有域名。点击要保护的域名，打开它的 Dashboard 标签页。

第 2 步：进入该域名的 SSL/TLS Certificates

在域名的 Dashboard 中向下滚动到 Security 分组，点击 SSL/TLS Certificates。其下方的标记会显示当前状态，例如域名中仍有部分未被覆盖时显示 “Webmail not secured”。

第 3 步：选择 Let’s Encrypt 免费证书

• 域名尚无证书：SSL/TLS Certificates 页面会直接提供安装证书的选项，点击 Let’s Encrypt 免费证书的 Install。
• 域名已有证书（例如想加入 www 或 webmail）：点击 Reissue Certificate，会打开标题为 “Choose a product to issue a certificate” 的面板，在 “Install a free basic certificate provided by Let's Encrypt” 下点击 Install。

该面板还提供 “Upload a certificate you already purchased”（Upload .pem file 按钮）和 “Download or remove existing certificates”（Manage 按钮）。

第 4 步：选择要保护的内容，点击 Get it free

Let’s Encrypt 表单中注明 “The certificate will be automatically renewed 30 days in advance before its expiration.”（证书将在到期前 30 天自动续期）。按下一节说明勾选选项（通常勾选域名、www、webmail 和 mail）。复选框下方的 Domain validation method 保持 HTTP — a file on the website (http-01) 即可；只有申请通配符证书时才需要选择 DNS — a TXT record in the DNS zone (dns-01)。然后点击 Get it free。Plesk 会自动申请证书、验证域名并完成安装，通常不到一分钟。

Dot Enterprise 面板中的表单没有邮箱输入框；其他一些 Plesk 环境可能会要求填写用于接收证书通知的邮箱。

Let’s Encrypt 表单选项说明

通配符证书的条件：通配符证书必须通过 DNS 验证（选择 DNS — a TXT record in the DNS zone (dns-01)，即创建名为 _acme-challenge 的 TXT 记录），HTTP 验证无法用于通配符。只有当域名使用 Plesk 的 DNS（或与 Plesk 同步的第三方 DNS）时，Plesk 才能自动完成。如果 DNS 托管在其他地方（例如 Cloudflare），每次续期都需要手动添加 TXT 记录，因此不推荐。子域名不多时，为每个子域名单独申请证书更简单。另外，通配符只覆盖一级（a.example.com 可以，a.b.example.com 不行）。

Keep websites secured：开启 SSL/TLS Certificates 页面中的此选项后，以后新增子域名、别名或 webmail 时，SSL It! 会自动重新签发 Let’s Encrypt 证书以覆盖它们。开启前该选项显示为 Disabled。

强制 HTTPS 并启用 HSTS

安装完成后，SSL/TLS Certificate for <您的域名> 页面会显示 Let’s Encrypt 证书（“Entry-level protection”）、Valid To 日期及 “Will be automatically renewed”、Reissue Certificate、Unassign Certificate 和 Advanced Settings 按钮，以及 Options 卡片。证书安装后，如果没有开启重定向，输入 http:// 的访客仍可通过未加密的方式访问网站 —— 但请先确认网站可以通过 https:// 正常访问。

• Redirect from http to https：以永久重定向（301）将访客从 HTTP 跳转到 HTTPS，对 SEO 也有好处。全新安装的 Plesk 默认已开启（卡片显示 Enabled）。
• HSTS：让浏览器在 Max-age 期间始终通过 HTTPS 访问该域名。安全性更高，但若此期间证书出现问题，访客将完全无法访问网站。默认为 Disabled；开启时如果子域名或 webmail 尚未配置 SSL，请取消勾选 Include subdomains / Include webmail。
• Keep websites secured：让新增的子域名、别名和 webmail 自动获得 SSL（见上文）。

如果网站位于 Cloudflare 之后，开启重定向后出现 ERR_TOO_MANY_REDIRECTS，通常是 Cloudflare 设置为 Flexible 所致，请改为 Full (strict)。

验证 SSL 是否生效

1. 在证书页面查看 Secured Components：Domain、Domain with the "www" prefix 和 Webmail access 都应显示 Secured。如有显示 Not Secured 的项目，点击 Reissue Certificate 并勾选缺少的选项（更多名称在 Show additional components to secure 中）。
2. 在浏览器中打开 https://example.com，应看到锁形图标（安全连接图标）且没有警告；点击可查看证书由 Let’s Encrypt 签发及到期时间。
3. 打开 http://example.com，应自动跳转到 https://。
4. 点击证书页面上的 Run SSL Labs Test（或直接使用 SSL Labs Server Test），确认证书链完整且覆盖所有域名。

也可以用命令行检查 HTTP 是否重定向、HTTPS 是否正常响应：

curl -sI http://example.com | head -n 3
curl -sI https://example.com | head -n 1

如果页面仍通过 http:// 加载图片或脚本（混合内容），锁形图标可能无法完整显示，需要把这些链接改为 https://。WordPress 网站请参阅 通过 Plesk 为 WordPress 安装 Let’s Encrypt SSL。

证书续期

• Let’s Encrypt 证书目前有效期为 90 天，SSL It! 会在到期前 30 天自动续期（表单中有说明，证书页面也显示 “Will be automatically renewed”），无需手动操作。
• Let’s Encrypt 已宣布缩短证书有效期：64 天（计划于 2027 年 2 月 10 日）和 45 天（计划于 2028 年 2 月 16 日）。由于是自动续期，对 Plesk 用户没有影响。
• 续期使用与首次申请相同的验证方式。如果之后迁移 DNS、开启 Cloudflare 代理或更换 IP 导致验证失败，续期也会失败。请定期在 SSL/TLS Certificates 页面检查 Valid To 日期和 Secured Components。

常见问题与解决方法

允许 Let’s Encrypt 签发证书的 CAA 记录示例（在 DNS Settings 中添加）：

example.com.  CAA  0 issue "letsencrypt.org"

常见问答

Let’s Encrypt 和付费 SSL 证书有什么区别？
加密强度相同。Let’s Encrypt 只签发 DV 证书（证明您控制该域名），付费证书则提供 OV/EV 组织验证和保险。如需安装购买的证书，请参阅 在 Plesk 中安装自定义 SSL 证书。

可以用于子域名吗？
可以。打开该子域名的 SSL/TLS Certificates 并按相同步骤操作；如果 DNS 托管在 Plesk，也可以使用通配符证书。

Plesk 登录页面（8443 端口）也想启用 SSL？
这属于服务器级别设置，请参阅 在 Plesk 中管理服务器级 SSL/TLS 证书。

总结

在 Plesk 中安装 Let’s Encrypt 只需四步：Websites & Domains → SSL/TLS Certificates → Install → 勾选选项并点击 Get it free。关键在于：先确保 DNS 指向服务器（注意 Cloudflare 代理）、勾选 www/webmail/邮件、开启 Redirect from http to https，然后交给 Plesk 自动续期。

需要自带 Plesk 和免费 SSL 的主机？欢迎了解 Dot Enterprise 的 Secure Cloud Hosting 方案；安装过程中遇到问题，我们的团队也可以帮您完成设置。