SSL 证书管理
GOCO 的 HTTPS 证书按部署方式分两条路：云托管站点全自动（平台签发与续期，你只需完成域名解析）；自有服务器在控制台「SSL 证书」页配置，基于 acme.sh 自动签发、部署与续期，使用 Let’s Encrypt 等免费机构，完全免费。
先分清你的场景
Section titled “先分清你的场景”| 部署方式 | 证书由谁管 | 你需要做什么 |
|---|---|---|
| GOCO 云托管 | 平台自动签发与自动续期 | 按提示添加 DNS 记录，之后零维护 |
| 自有服务器（SSH + 宝塔） | 「SSL 证书」页的 acme.sh 配置 | 为服务器建一个证书配置并开启自动续期 |
云托管：自动签发与续期
Section titled “云托管：自动签发与续期”云托管站点无需手动申请证书。绑定域名后，平台会为每个域名注册托管主机名并准备签发；你只需在 DNS 服务商处添加提示的记录（路由 CNAME、证书校验 CNAME、归属 TXT），记录生效后证书自动签发。详细解析步骤见 云托管教程的「方式五」一节。
续期同样全自动：证书校验用的 _acme-challenge CNAME 是一次性委托，签发后请保留，平台会在到期前自动换发新证书，无需任何操作。若解析记录被删导致无法续期，系统会自动提醒你（站点列表 SSL 列会显示「证书异常」）。
域名状态含义
Section titled “域名状态含义”在站点详情的「需要解析的域名」处可以看到每个域名的实时状态：
| 状态 | 含义 | 你需要做什么 |
|---|---|---|
| 待 DNS 生效 | 域名已创建，但路由解析还没生效 | 添加路由 CNAME 并等待生效 |
| 签发证书中 | 解析已通，正在自动签发 HTTPS 证书 | 确认证书校验 CNAME 已添加，稍等即可 |
| 已生效 | 解析与证书都已就绪，站点可正常 HTTPS 访问 | 无需操作 |
| 错误 | 签发或校验失败 | 按下文排查解析记录后点「检查状态」 |
| 已停用 | 域名已被暂停服务 | 联系客服了解原因 |
自有服务器：acme.sh 自动证书
Section titled “自有服务器：acme.sh 自动证书”自有服务器的证书在控制台**「SSL 证书」**页管理：通过 SSH 为宝塔服务器自动签发和续期证书，到期前自动续期并部署到对应站点。每台服务器只能有一个证书配置。
-
「SSL 证书」页点 「新建证书」，选择一台服务器（名称可选，留空自动命名）。还没绑定服务器的话，先到 服务器绑定与管理 完成绑定。
-
选机构与验证方式
Section titled “选机构与验证方式”- 证书机构：Let’s Encrypt（90 天 · 免费 · 最广泛信任）、ZeroSSL（90 天 · 免费）、BuyPass（180 天 · 免费，续期次数更少）。
- 验证方式：默认 HTTP-01（网站目录），需服务器 80 端口可达，逐域名签发；DNS-01（CloudFlare） 用你绑定的 CloudFlare token 验证，无需 80 端口且支持泛域名——未绑定 token 时请先到「域名解析」页绑定。
-
选择覆盖的域名
Section titled “选择覆盖的域名”推荐 「该服务器全部域名」：服务器上托管的每个站点都会获得证书，新增站点约 24 小时内自动纳入并签发。「指定域名」已不再推荐。
-
开启自动续期
Section titled “开启自动续期”开启 「自动续期」 后系统会在到期前自动续期并部署：可设置提前多少天续期、每日检查时段（推荐「随机（北京 0–6 点）」以错峰、降低被证书机构限速的概率）。按需打开 「强制 HTTPS」，新签发/续期时自动把 HTTP 跳转到 HTTPS。
-
点 「申请 / 续期」，在弹出的清单中勾选要处理的域名（默认勾选无证书 / 已过期 / 即将到期的）后确认。每个域名签发成功后立即部署，仍有效的证书自动跳过。
证书配置状态含义
Section titled “证书配置状态含义”「SSL 证书」列表的「状态」列：
| 状态 | 含义 |
|---|---|
| 待处理 | 配置已创建但从未签发——打开后点「申请 / 续期」即可部署 |
| 签发中 | 正在逐个域名申请 / 续期 |
| 已部署 | 证书已签发并部署到站点 |
| 即将到期 | 有域名的证书临近到期（自动续期开启时会自动处理） |
| 已过期 | 有域名的证书已过期，请尽快续期 |
| 失败 | 最近一次续期有域名失败——可点「重试续期」，错误详情见「最后错误」列 |
未签发 / 续期失败排查
Section titled “未签发 / 续期失败排查”云托管：一直停在「待 DNS 生效」
Section titled “云托管：一直停在「待 DNS 生效」”- 确认已在 DNS 服务商添加路由 CNAME（
@→ 以控制台显示的记录值为准，按分片形如tw1.goco.cc，也可能是goco-host.com形式）——没有这条域名根本打不开。 - DNS 生效通常几分钟到几小时；生效后回到站点详情点 「检查状态」。
- 域名在 Cloudflare 的，检查路由 CNAME 是否为灰色云朵（仅 DNS），橙云必须关闭。
- 提示需要归属 TXT（
_cf-custom-hostname）时，把它也一并添加。
云托管：一直停在「签发证书中」（证书校验卡住）
Section titled “云托管：一直停在「签发证书中」（证书校验卡住）”- 检查证书校验 CNAME 是否已添加且值完整：主机记录
_acme-challenge，值形如<域名>.<委托标识>.dcv.cloudflare.com——少复制一段就会一直卡住。 - 注意主机记录写法：多数 DNS 服务商填相对写法
_acme-challenge，不要重复带上域名（除非服务商要求完整域名写法）。 - 记录添加后等待生效再点「检查状态」；这条记录是一次性委托，签发后请保留，续期还会用到。
云托管：主域名生效了，www 打不开
Section titled “云托管：主域名生效了，www 打不开”www 是独立的托管主机名和证书，需要单独的解析记录：绑定域名时勾选「同时绑定 www」后，按站点详情「需要解析的域名」里 www 那行的提示，为 www 添加对应 CNAME。主域名「已生效」不代表 www 也生效，两者各自校验。
自有服务器：签发失败
Section titled “自有服务器：签发失败”- 域名未解析到本服务器 IP——HTTP-01 签发会失败（域名清单里会直接标出这类域名）。先把域名 A 记录指向该服务器再重试。
- 80 端口不可达：HTTP-01 需要 80 端口开放；无法开放时改用 DNS-01 验证。
- DNS-01 未绑定 token：提示「未绑定 CloudFlare token」时，先到「域名解析」页绑定，或切回 HTTP-01。
- 证书机构限速：短时间大量签发（尤其勾选「强制重新签发」）会消耗 CA 配额，稍后再用 「重试续期」；自动续期用随机时段可降低触发概率。
- 具体错误原因看列表的**「最后错误」列与编辑器的「运行历史」**页签，逐域名显示签发 / 仍有效 / 失败。