宝塔面板SSL失效主因是证书路径错误、格式不规范或未重载配置；面板证书须放于/www/server/panel/ssl/，仅认certificate.pem（含链）和privateKey.pem（无密码），网站证书需严格PEM格式、清除HSTS缓存，并手动重载Nginx。
证书文件路径不对，面板SSL会直接失效
宝塔面板的「面板自身HTTPS」和「网站HTTPS」是两套独立系统，很多人混淆后把网站证书误扔进面板目录，结果登录面板时提示 ERR_SSL_PROTOCOL_ERROR 或白屏。面板SSL证书固定存放在 /www/server/panel/ssl/，且只认两个文件：certificate.pem（含服务器证书+完整证书链）和 privateKey.pem（私钥）。不能用 .crt + .key 直接替换，必须合并中间证书——比如腾讯云Nginx包里的 cloud.tencent.com_bundle.crt 就已包含链，可直接当 certificate.pem 用；而阿里云下载的单独 .crt 文件通常只含域名证书，得手动把中间证书追加在它后面，中间**不能空行**。
网站SSL配置里粘贴内容时多了一行或少了一行
这是部署失败最隐蔽的原因。宝塔网站SSL页面要求：证书(PEM格式) 文本框里必须是标准PEM结构：以 -----BEGIN CERTIFICATE----- 开头、-----END CERTIFICATE----- 结尾，中间是Base64编码；私钥(KEY) 同理，必须以 -----BEGIN PRIVATE KEY----- 起始。常见错误包括：
- 复制时带上了编辑器自动换行或BOM头（尤其Windows记事本）
- 把
.csr文件误当私钥粘贴 - 证书文件里漏了中间证书，浏览器提示“您的连接不是私密连接”，但宝塔界面却显示“保存成功”
- 私钥文件被密码保护（如腾讯云IIS格式下载的私钥），而宝塔不支持带密码的私钥——必须先用OpenSSL解密：
openssl rsa -in encrypted.key -out privateKey.pem
更换后浏览器仍提示不安全，其实是缓存或HSTS在作怪
证书换了，但访问时还是显示红色警告，甚至刷新、清缓存都没用？大概率是HSTS（HTTP Strict Transport Security）生效了。如果旧证书时期站点启用了HSTS（比如勾选过“强制HTTPS”或Nginx里写了 add_header Strict-Transport-Security），浏览器会强制记住该域名只能走HTTPS，并缓存策略长达数月。此时即使新证书正确安装，Chrome/Firefox仍拒绝加载。解决方法只有两个：
- 临时用隐身窗口访问，验证证书是否真生效（地址栏出现锁图标且点开能查看新证书信息）
- 彻底清除HSTS记录：Chrome中访问
chrome://net-internals/#hsts→ 输入域名 → 点击「Delete domain security policies」
注意：Windows系统下还可能因根证书未更新导致面板SSL异常，需双击下载的面板根证书文件，选择“本地计算机”→“受信任的根证书颁发机构”安装，否则即使面板重启也打不开。
自动续签不等于自动部署，Let’s Encrypt证书要手动触发重载
宝塔内置的Let’s Encrypt申请默认开启自动续签，但续签成功后不会自动应用到网站——它只是把新证书写入 /www/wwwroot/your-site/cert/，而网站配置仍指向旧文件路径。你必须进对应站点的「SSL」页，点击「其他证书」→「从站点目录获取」，再点「部署」才会更新Nginx配置中的证书路径。更麻烦的是，如果用了通配符证书或自建Certd服务，其证书路径不在默认位置，就得手动修改站点配置文件里的 ssl_certificate 和 ssl_certificate_key 指向，然后执行 bt reload 或重启Nginx。
真正容易被忽略的点是：证书替换了，但没检查Nginx配置语法是否合法。一次手抖多写了个分号，nginx -t 报错，面板却不会主动提醒——网站就直接502了。换完务必执行 nginx -t && systemctl reload nginx 确认。
