最近在折腾几个新项目的测试环境，二级域名越挂越多，每次新建一个站点就要单独申请一次单域名证书，三个月到期还得盯着有没有续上，实在有点心累。索性花点时间把主域名全部换成了通配符泛域名证书（*.example.com），顺便把自动续期的机制梳理了一遍。
把操作步骤和踩过的几个小坑记下来，方便日后重装机器时查阅，也给同样折腾多子域名的朋友一个参考。
1. 为什么优先推荐通过 DNS API 签发泛域名
申请泛域名证书与单域名证书最大的区别在于验证方式。单域名可以通过 HTTP 文件验证（面板在网站根目录下放一个临时文件供 CA 机构访问），但泛域名证书（通配符证书）必须通过 DNS 的 TXT 记录来证明域名的所有权。
如果手动去域名解析后台加 TXT 记录，每到三个月续期时还得人工重复操作一次，非常容易遗漏导致证书过期。通过配置服务商的 DNS API 密钥，宝塔可以调用接口自动添加临时 TXT 记录、完成 Let's Encrypt 验证并自动删除记录，实现全自动静默续期。
主流域名托管平台的准备工作如下表：
| 托管平台 | 鉴权参数要求 | 权限建议 |
|---|---|---|
| 阿里云（Aliyun） | AccessKey ID / AccessKey Secret | 建议在 RAM 控制台单独建一个仅含 DNS 权限的子账号 |
| 腾讯云（DNSPod） | DP_Id / DP_Key（或腾讯云 API 密钥） | 优先在 DNSPod 控制台创建专用的 API Token |
| Cloudflare | API Token（推荐）或 Global API Key | 建议使用限定了“Zone - DNS - Edit”权限的专属 Token |
2. 宝塔内配置 DNS API 与证书签发
配置过程基本在宝塔后台就能搞定，没有复杂的命令行操作：
- 打开宝塔面板，进入「网站」列表，点击任意一个需要部署该泛域名的站点，选择「SSL」标签页。
- 切换到「Let's Encrypt」，勾选你的主域名以及通配符域名（例如填写
example.com和*.example.com）。 - 验证方式选择「DNS验证」，并在下拉菜单中选择你对应的 DNS 提供商。
- 点击齿轮图标或输入框，填入上一节准备好的 API 密钥信息并保存。
- 点击「申请」，宝塔会自动调用接口写入 TXT 记录，通常需要等待 1 到 2 分钟让 CA 节点完成解析查询。
申请成功后，面板会自动开启该站点的 SSL，并把证书内容保存在本地。同台服务器上的其他二级域名站点，直接在 SSL 设置里选择「当前商用证书」或通过复制密钥/PEM内容挂载即可，无需重复向 Let's Encrypt 发起签发请求。
3. 自动续期的机制与失效排查
很多站长反馈泛域名证书到期后没有自动续签，导致站点被浏览器拦截。其实宝塔是通过 Crontab 定时任务来处理续签逻辑的。
可以在面板的「计划任务」里看到一条名为 续签Let's Encrypt证书 的任务，脚本会每天运行一次，检查距离到期时间是否在 30 天以内，只有满足条件才会触发实际续签。如果发现没有自动续期，通常是以下两个原因：
- DNS API 凭证失效：最常见的情况是之前删除了云厂商的子账号，或者修改过 Cloudflare 的 Token 权限，导致宝塔在后台写 TXT 记录时接口返回 403 认证失败。
- 计划任务执行异常：可以点击该任务右侧的「日志」，看最后一次执行时的报错信息。如果是 Python 环境缺失
acme.sh依赖或网络超时，直接在终端里手动运行一次续签命令通常能看到具体的报错输出。
建议在证书到期前 15 天左右，顺手在手机日历挂个提醒上去看一眼，确认自动任务是否正常交卷。
4. 泛解析与全站 HTTPS 后经常被扫崩溃怎么办？
配置完泛域名证书后，很多朋友图省事会直接在 DNS 处做泛解析（*.example.com 指向服务器 IP）。这时候服务器相当于向公网敞开了所有未知子域名的入口。
国内外的各类恶意扫描器和爬虫脚本最喜欢沿着泛解析做自动化嗅探，频繁发起非法 Host 头请求、WordPress 后台爆破和伪造请求。由于此时全站都启用了 SSL，高频的 HTTPS 握手开销会非常消耗 CPU，导致原本配置不高的轻量云服务器（1G/2G 内存）动不动就负载飚满，甚至把 Nginx 或 PHP-FPM 进程挤爆报 502。
单靠改大 PHP 的 max_children 或者加 Swap 交换分区，往往只是延缓崩溃时间，并不能解决恶意流量进来的本质问题。
这时候最有效的做法是在请求进入后端解析之前，直接在入口处切断。宝塔自带的 Nginx 防火墙插件在这类场景下非常实用，它能在 Nginx 握手层直接把未绑定的恶意 Host 扫描、境外黑客爬虫和高频探测拦截掉，CPU 占用立马就能降下来。
如果打算长期稳定建站，宝塔官方的防火墙年费确实相对较高，我们站提供正版终身授权方案（一次买断、永久有效，而且支持在后台免费自助换绑服务器 IP），有需要的朋友可以去本站首页了解一下，算是一个省心且长期的解决思路。