域名解析未生效是SSL申请失败最常见原因，需确保dig返回正确IP、www与主域均解析正常；HTTP验证路径不可被重定向或拦截；LiteSSL+DNS验证可绕过网络限制；清除缓存与旧证书后再重试。
域名解析未生效是SSL申请失败最常见原因
宝塔面板申请 Let's Encrypt 或 LiteSSL 证书时卡在“验证中”或直接报“域名解析错误”，90% 以上是 DNS 没真正生效——不是你填错了，而是全球缓存、TTL 延迟或子域名遗漏导致 CA 根本连不到你的服务器。
- 执行
dig +short yourdomain.com，必须返回和宝塔所在服务器完全一致的 IP；如果返回空、多个 IP 或错误 IP，说明 DNS 未就绪 -
ping -c 4 yourdomain.com和ping -c 4 www.yourdomain.com都要通，且指向同一 IP；若缺www，Let’s Encrypt 可能只验证主域而忽略 www，导致证书不完整 - 阿里云/腾讯云后台设置完 DNS 后，别信“已生效”，实际需等待 5–30 分钟（尤其 TTL 设为 3600 时），可用 dnschecker.org 查全球解析状态
HTTP 验证路径被 Nginx 拦截或重定向
Let’s Encrypt 会请求 http://yourdomain.com/.well-known/acme-challenge/xxx，但宝塔默认配置可能把该路径重写、跳转或屏蔽，导致返回 404、301 或 403，而非纯文本响应。
- 检查站点配置中是否启用了「强制 HTTPS」——它会让所有 HTTP 请求 301 跳转到 HTTPS，而 ACME 验证只走 HTTP，跳转即失败
- 确认 Nginx 配置里没有类似
location ~ /\.|\.php$的正则规则误杀.well-known目录；正确放行应加这段：location ^~ /.well-known/acme-challenge/ {<br> default_type text/plain;<br> root /www/wwwroot/your-site;<br>} - 手动测试：在站点根目录建
/www/wwwroot/your-site/.well-known/acme-challenge/test.txt，内容写hello，然后浏览器访问http://yourdomain.com/.well-known/acme-challenge/test.txt；若打不开或跳转，就是配置问题
LiteSSL+DNS 验证绕过所有网络与端口依赖
如果你用的是国内服务器，Let’s Encrypt 的 acme-v02.api.letsencrypt.org 域名大概率无法直连，curl: (7) Failed to connect to 2606:4700:: Network is unreachable 这类报错基本可判定是 IPv6 优先+境外网络限制双重作用。换 LiteSSL+DNS 是最快落地的解法。
- 必须用阿里云 RAM 子账号（非主账号）的
AccessKey ID和AccessKey Secret，主账号 AK 会被阿里云安全策略静默拦截，报错There is a risk of leakage of this AccessKey - DNS 验证不依赖 80 端口、不读网站根目录、不走伪静态，只要域名在阿里云/腾讯云管理，且子账号有
AliyunDNSFullAccess权限，就能自动添加 TXT 记录并完成验证 - 宝塔中选证书服务商为
LiteSSL、验证方式为DNS 验证、DNS 服务商选对应平台即可；首次成功后，续签全自动，无需人工干预
缓存残留和旧证书状态干扰新申请
重复点击“免费申请”后，宝塔内部的 letsencrypt.json 文件可能损坏，或 .well-known/acme-challenge/ 下残留旧 token，导致 ACME 客户端反复尝试无效路径，界面卡在“正在验证”不动。
- 删掉配置缓存：
rm -f /www/server/panel/config/letsencrypt.json - 清空验证目录：
rm -rf /www/wwwroot/your-site/.well-known/acme-challenge/*（注意替换your-site） - 重启面板：
bt restart，再重新点申请；不要跳过“删除旧证书”步骤——进「SSL」页把显示“已过期”或“验证失败”的条目全删掉
最容易被忽略的一点：DNS 验证看似简单，但子账号权限没给够、AK 没复制全、或者域名根本不在当前 DNS 服务商下托管，都会让整个流程静默失败——建议先在阿里云控制台手动添加一条测试 TXT 记录，确认 API 调用真能生效，再回宝塔点申请。
