泛域名解析需在域名服务商处添加 A记录指向服务器IP，宝塔仅管理网站绑定；通配符SSL必须用DNS-01验证，申请时须同时提交example.com和.example.com，并正确配置DNSAPI密钥。
泛域名解析在宝塔面板里根本不用配
宝塔面板本身不处理 DNS 解析，它只是个服务器管理界面。所谓“配置泛域名解析”，实际是去你的域名服务商（如阿里云、腾讯云、Cloudflare）后台添加一条 A 记录：* A 你的服务器IP。宝塔里任何“DNS 设置”或“域名管理”页面都与此无关——那里只管网站绑定，不管公网 DNS 走向。
常见错误现象：
• 在宝塔「网站」→「添加站点」时填 *.example.com，以为这样就能自动接管所有子域 → 实际只是告诉 Nginx 监听该 Host 头，但用户根本访问不到，因为 DNS 没指向你；
• 在宝塔「DNS 管理」插件（如有）里瞎配 → 这个插件仅适用于你自建 DNS 服务器，99% 用户用不上。
通配符 SSL 必须用 DNSAPI 验证，HTTP-01 不行
Let’s Encrypt 对 *.example.com 的验证强制要求 DNS-01，因为 HTTP-01 只能验证具体某个子域（比如 www.example.com），无法证明你控制整个 *.example.com 域名空间。宝塔默认的“文件验证”就是 HTTP-01，直接点“申请”会失败，报错：Cannot issue for "*.example.com": Domain is not under your control。
实操要点：
• 先确认你的 DNS 服务商是否被 acme.sh 支持：查 acme.sh DNSAPI 列表，主流如阿里云（Aliyun）、腾讯云（Qcloud）、Cloudflare（Cloudflare）都有；
• 在宝塔「SSL」页面申请前，必须先在「面板设置」→「SSL」→「DNS API 配置」里填好对应服务商的密钥（如阿里云的 Ali_Key 和 Ali_Secret）；
• 填写时注意大小写和空格，Ali_Key 不是 AccessKey ID 后缀，而是完整字符串；
• 宝塔 8.x 开始支持自动注入 DNSAPI，但老版本或手动安装插件可能需先 ssh 执行 acme.sh --issue --dns dns_ali -d example.com -d *.example.com 测试通路。
申请时必须同时提交根域和泛域名
Let’s Encrypt 的通配符证书只覆盖一级子域，即 *.example.com 能匹配 a.example.com、api.example.com，但不匹配 a.b.example.com 或 example.com（根域）。所以证书必须包含两项：example.com 和 *.example.com，缺一不可。
在宝塔操作中：
• 「申请 SSL」页面的「域名」输入框，必须填写：example.com,*.example.com（英文逗号分隔，不能有空格）；
• 如果只填 *.example.com，acme.sh 会成功签发但浏览器访问 example.com 时提示证书不匹配；
• 如果填了 example.com,*.example.com,www.example.com，多一个 www 无害，但浪费一个 SAN 位，没必要；
• 宝塔界面上看不到 acme.sh 日志，若卡在 “正在验证” 超过 2 分钟，直接看后台日志：tail -f /www/server/panel/logs/letsencrypt.log，重点搜 DNS record 和 error。
证书自动续期依赖 DNSAPI 配置持久化
宝塔申请通配符证书后，会在系统级 cron 里添加 acme.sh 的续期任务（路径通常是 /var/spool/cron/root），但它调用的是全局 acme.sh 配置。一旦你在宝塔里删掉 DNSAPI 密钥，或重装面板没备份配置，下次续期就会失败，报错：No such variable: Ali_Key 或 DNS API not found。
防坑建议：
• DNSAPI 密钥不要只存在宝塔界面，同步手动写进 acme.sh 配置：echo "export Ali_Key='xxx'" >> /root/.acme.sh/account.conf；
• 续期前可手动测试：/root/.acme.sh/acme.sh --renew -d example.com -d *.example.com --force --debug；
• 宝塔「SSL」列表里看到证书状态为“即将到期”，不代表已失败，要看「操作」列是否有「续签」按钮变灰或报错图标；
• 通配符证书有效期 90 天，但 acme.sh 默认每 60 天续一次，时间偏紧，建议在首次申请后立即执行一次手动续签，确认链路跑通。
最常被忽略的一点：DNS 解析生效有 TTL 延迟，而 acme.sh 的 DNS 验证要求记录在 120 秒内可被 Let’s Encrypt 的 DNS 服务器查到。如果你的域名 TTL 设为 3600（1 小时），即使你立刻加了 TXT 记录，acme.sh 也可能超时失败——此时要临时把 TTL 改成 60，验证通过后再改回。
