# 宝塔企业版/专业版怎么申请通配符泛域名 SSL 证书并配置自动续期与 WAF 防护？

> 在宝塔企业版/专业版申请 `*.example.com` 通配符证书需使用 DNS API 验证：先在域名服务商获取 API 密钥填入宝塔 DNS 接口设置，勾选泛域名一键签发并自动建立定时续期任务，最后在企业版「网站防火墙 WAF」中开启 HTTPS 站点 CC 防护。

- 分类: 面板配置
- 发布: 2026-10-14
- 更新: 2026-10-24
- 原文: https://pay.baota.in/article/bt-wildcard-ssl-renewal-guide

## 什么是通配符（泛域名）SSL 证书？为什么要用 DNS API 验证？

在宝塔永久专业版与企业版（Linux v13.1.0、Windows v8.5.2 及国际版 aaPanel PRO v8.0.7）中，通配符证书（如 `*.baota.in`）只需申请一张，就能同时加密主域名及旗下一级所有子域名（如 `www`、`pay`、`api`、`doc`）。根据证书颁发机构（Let's Encrypt 等）规范，**通配符证书不支持通过网站目录文件验证，必须使用 DNS TXT 解析验证**。并且只有配置了 DNS API 自动解析接口，宝塔企业版计划任务才能在证书到期前自动写入 TXT 记录完成无人值守续期。

## 在宝塔企业版/专业版申请泛域名证书并自动续期的 3 个步骤

1. **准备域名解析平台的 API 密钥**
   - 根据你的域名 DNS 托管在哪里（阿里云云解析、腾讯云 DNSPod、Cloudflare、华为云等），前往对应平台控制台生成具备 DNS 解析修改权限的 API Token / AccessKey。
2. **在宝塔面板配置 DNS 接口并签发证书**
   - 登录宝塔企业版/专业版面板，打开「网站 → 点击目标站点 → SSL → Let's Encrypt」。
   - 验证方式选择 **「DNS 验证（支持通配符）」**，勾选对应 DNS 服务商并填入 API 密钥。
   - 勾选主域名与 `*.主域名`，点击申请。面板会自动调用接口添加 TXT 解析并在验证通过后部署证书，建议同时开启右上角「强制 HTTPS」。
3. **检查「计划任务」并开启企业版 WAF 防火墙保护**
   - 打开面板左侧「计划任务」，确认存在「续签 Let's Encrypt 证书」的每日定时任务且状态为开启。
   - 开启 HTTPS 后，建议同步在「软件商店 → 企业版插件 → Nginx 网站防火墙（WAF）」中为该 HTTPS 站点启用防 CC 攻击与防注入保护，防止攻击者针对 SSL 握手发起高消耗请求。

## 自动续期日志排查与证书夹复用技巧

若遇到自动续签任务提示失败，可打开「计划任务」对应任务的「日志」，核查 DNS API 密钥是否过期或域名是否开启了 CAA 记录限制。更多面板安装升级与企业版插件说明可查看[安装与升级文档](https://baota.in/tutorial.html)或[本站知识库](/articles)。

## 依据与适用范围

- 四大产品线：永久专业版、企业版、Linux、Windows、aaPanel PRO: 本站支持四大核心产品线授权开通：宝塔 Linux 专业版与企业版（当前版本 v13.1.0，适用 Ubuntu/Debian/CentOS 等）、宝塔 Windows 专业版与企业版（当前版本 v8.5.2，适用 Windows Server）、aaPanel PRO 版（当前版本 v8.0.7，国际英文版）。各版本均支持全新安装或从免费版无损在线升级。
  来源: https://pay.baota.in/
- 官方配套安装与无损升级教程文档: 本站配套的安装与升级实操文档为 https://baota.in/tutorial.html，包含宝塔 Linux 企业版/专业版、Windows 企业版/专业版及 aaPanel PRO 版的全新安装（3 步）与免费版无损升级（2 步）标准命令。
  来源: https://baota.in/tutorial.html
- 面板版本号与授权状态核对: 安装或执行升级脚本后，可在面板左上角首页状态栏或「面板设置」页核对当前版本号（Linux v13.1.0 / Windows v8.5.2 / aaPanel v8.0.7）及企业版/专业版授权状态。
  来源: https://baota.in/tutorial.html
- 企业版与专业版核心插件矩阵: 开通宝塔企业版或专业版授权后，可在面板「软件商店 → 专业版插件 / 企业版插件」中直接安装与管理专属插件，包括网站防火墙（Nginx/Apache WAF）、网站防篡改、网站监控报表、企业级防灾备份、数据同步工具、系统加固、木马查杀、负载均衡等。
  来源: https://docs.bt.cn/
- 宝塔 Linux 免费版无损升级企业版/专业版命令: 宝塔 Linux 免费版无损升级企业版/专业版：无需重装系统或面板，在已安装宝塔的服务器 SSH 终端执行 `setsid bash -c "curl -s https://baota.in/install/update6.sh | bash" &`，脚本后台完成平滑升级，保留原有网站、数据库与配置，完成后刷新面板即可使用企业版插件。
  来源: https://baota.in/tutorial.html
- 固定 IP 永久授权套餐: 本站固定 IP 永久授权当前单价为 ¥19.99/台，一次付费无月费，绑定所填写的服务器公网 IPv4；适合服务器公网 IP 长期保持不变的建站与生产环境（不包含自助换 IP 权益）。
  来源: https://pay.baota.in/
- 可换 IP 永久授权套餐与换绑规则: 本站可换 IP 永久授权当前单价为 ¥88.88/台，一次付费无月费。新订单默认每个 IP 可自助更换 10 次，购买时设置 4–12 位换 IP 密码，换机或迁移机房时可随时自助迁移绑定 IP；历史订单以原订单记录的剩余额度为准。
  来源: https://pay.baota.in/change-ip
- 本站产品覆盖与永久授权服务: 本站提供宝塔永久专业版与企业版、Linux 专业版与企业版、Windows 专业版与企业版以及国际英文版 aaPanel PRO 的授权开通、订单查询与可换 IP 自助换绑服务。绑定服务器公网 IPv4 后即可解锁对应版本的专业版与企业版插件功能。
  来源: https://pay.baota.in/

## 常见问题

### 一张 `*.example.com` 通配符证书能给 `a.b.example.com` 三级子域名用吗？

通配符 `*` 仅匹配同级子域名（即二级域名如 `pay.example.com`），不包含多级深层子域名；若有三级子域名需求，需单独为该层级申请证书。

### 多个站点共用同一张通配符证书怎么部署最省事？

在一个主站点通过 DNS API 成功申请通配符证书后，其他同主域的子站点打开「SSL → 证书夹」，直接点击「部署」即可一键复用，且主证书自动续期后全站同步更新。