TOOLNAVIA / 选购指南
ChemiCloud Starter SSL：一个停放域名为何会阻断Let’s Encrypt
先看结论
ChemiCloud Starter 包含免费的 Let’s Encrypt SSL，但真正影响购买体验的不是“免费”两个字，而是**证书验证能否通过**。ChemiCloud 明确要求目标域名和 www 主机名指向 cPanel 账户 IP，而且给主域名签发时还可能把 parked domain 一并包含进去；只要其中一个停放域名指向错误位置，签发就可能失败。 如果你有很多旧别名，迁移前必须先检查这一层。
选购速览
- 适合谁
- 能够维护主域、www与停放域名DNS清晰的一站点cPanel用户。
- 收费方式
- 当前页面显示$1.95优惠与$11.95常规参考价；以实时可用性和结账为准。
- 先看限制
- 免费SSL无法绕过DNS控制、DNSSEC、CAA或旧别名问题。
Starter 包含什么，又不能保证什么
ChemiCloud 当前 Starter 页面显示 $1.95/月的优惠参考价，同时显示 $11.95 的常规参考价，并列出免费 SSL、cPanel 和 1 个网站。 页面也说明优惠只适用于首期，续费按账户/控制面板中的常规费率执行。
免费 SSL 代表证书本身包含在主机服务中，并不代表任何主机名都能无条件签发。证书颁发机构仍然要通过 DNS/域名控制验证确认你对这些名称拥有控制权。
Parked domain 的坑发生在 HTTPS 之前
ChemiCloud 的 Let’s Encrypt 指南要求域名和 www 子域都指向 cPanel 账户 IP。它还特别提醒：给主域名签发时可能包含 parked domain，如果其中一个被包含的停放域名没有指向该账户 IP，SSL 安装就可能失败。
因此迁移时应先列出主域名、www、停放别名以及证书请求包含的其他主机名，逐个确认解析位置；废弃别名可以临时取消停放，再重新签发。不要一开始就折腾跳转规则——证书本身必须先有效。
DNS 修改只有在权威区域正确时才生效
ChemiCloud 文档说明可以在 cPanel Zone Editor 修改 A、CNAME、MX 等记录，但同时提醒：只有当域名实际使用 ChemiCloud nameserver，或兼容的 ChemiCloud 私有 nameserver 时，这些 cPanel DNS 修改才会影响公网解析。 DNS 传播本身也可能需要时间。
所以如果域名实际由 Cloudflare 或其他外部 DNS 提供商托管，只改 cPanel Zone Editor 可能完全不会改变公网 DNS。应先确认权威 nameserver，再去真正的权威 DNS 服务商修改记录。
CAA 与 DNSSEC 也可能阻断验证
Let’s Encrypt 在签发前会检查 CAA。官方文档说明，持续出现 CAA SERVFAIL 可能来自 DNSSEC 验证失败、权威 DNS 行为异常或查询超时。 Cloudflare 的域名控制验证排错文档也把 SERVFAIL、NXDOMAIN、DNSSEC 以及错误的 AAAA/HTTP 验证路径列为常见原因。
这些问题本身并不能证明 ChemiCloud 主机有故障，而是域名控制链路的问题。正确做法是修复权威 DNS，而不是不停点击“Issue”重复申请。
证书有效后再开启 Force HTTPS
证书成功安装后，ChemiCloud 推荐通过 cPanel Domains → Force HTTPS Redirect 开启强制跳转。 cPanel 自己的接口文档也说明，开启安全跳转前，域名必须已经有 AutoSSL 或其他有效证书。
顺序非常重要。如果 HTTPS 还没健康就先把 HTTP 全部强制跳过去，访客可能直接进入证书错误页。开启后应同时检查主域和 www，并排查网页中仍然写死 HTTP 的图片、脚本或样式造成的 mixed content。
购买结论
如果你要的是一个站点、cPanel、免费 SSL，并且可以把 DNS 管理得比较清楚，ChemiCloud Starter 是合适的选择。 当主域、www 与停放别名都正确指向预期位置时，流程会比较简单。
不要把“免费 SSL”理解成“DNS 错了也能自动修好”。如果你有很多旧别名、外部 DNS、DNSSEC、CAA 限制或遗留 parked domain，迁移前就应该审计。最稳妥的顺序是：确认权威 DNS → 签发证书 → 直接验证 HTTPS → 开启 Force HTTPS Redirect → 检查所有关键主机名。
联盟披露：符合条件的 ChemiCloud 购买可能给 Toolnavia 带来佣金；这不会改变本文对 DNS 与证书验证边界的说明。
