TOOLNAVIA / 选购指南
Cloudways 通配符 SSL：DNS CNAME、100 SAN 上限与续期风险
先看结论
Cloudways Flexible 包含免费的 Let’s Encrypt SSL，当前流程也支持为一个根域名签发通配符证书。对于管理大量子域名的代理商，这可能很有价值；但前提是买家能控制权威 DNS，并长期保留 `_acme-challenge` CNAME。证书免费，不代表 DNS 管理、续期监控和迁移责任也由平台完全承担。
*资料核查于 2026 年 10 月 29 日完成；我们没有创建 Cloudways 服务器、修改真实 DNS 或读取登录后的结账页。*
选购速览
- 适合谁
- 能够控制 DNS 并监控续期的团队。
- 收费方式
- Flexible 当前展示价每月 11 美元起；以实时配置为准。
- 先看限制
- 每应用一个证书、100 SAN 上限、频率限制与 DNS 依赖。
结论：为可管理的 DNS 委派购买，不要当成“一次设置永久不管”
如果同一应用需要 `app.example.com`、`shop.example.com` 和 `support.example.com` 等子域名，通配符证书很实用。Cloudways 当前说明会提供通配符选项，并要求客户把 `_acme-challenge` CNAME 指向平台给出的应用 FQDN。自动续期默认开启，并会在到期前安排续签。
这不是无条件在线保证。删除挑战 CNAME、失去 DNS 控制权、替换当前证书或错误配置代理，都可能导致续期失败。因此购买判断不仅是证书价格，更是团队能否长期承担运维责任。
| 购买问题 | 通过条件 | | --- | --- | | DNS 控制 | 能创建并长期保留准确挑战 CNAME | | 覆盖范围 | 一个根域名及所需子域符合证书设计 | | 规模 | 每个应用一个活动证书，且不超过 100 个 SAN | | 运维 | 有明确人员负责到期提醒、续期检查与变更后测试 |
CNAME 仍然属于 DNS-01 委派
Let’s Encrypt 规定通配符域名必须使用 DNS-01。DNS-01 通常需要在 `_acme-challenge` 下发布 TXT 值；Cloudways 则要求客户在这个名称创建 CNAME。两者并不冲突：Let’s Encrypt 会跟随 CNAME 或 NS 委派，让 Cloudways 在被委派区域回答真正的 DNS 挑战。
首次签发成功后不要删除该 CNAME。Cloudways 的续期故障文档明确把 CNAME 被移除列为通配符续期失败原因。应把它当作生产基础设施：记录负责人、保护 DNS 账号，并放入所有迁移检查表。
大量域名前先理解平台上限
Cloudways 当前限制页写明：每个应用只能安装一个 Let’s Encrypt 证书；每张证书最多 100 个域名、子域名或 SAN；同一域名每周最多签发五张证书；按需续期每天最多五次。证书有效期为 90 天，吊销也不会重置签发限制。
“通配符覆盖无限子域”描述的是一个根域名下的模式匹配，不等于无限证书、无限根域或无限应用。证书可以同时包含通配符和其他 SAN，但仍受 100 SAN 与每应用一个活动证书限制。
代理商迁移前应列出所有根域、通配符和明确主机名。不断试错、重复签发，可能在最需要上线时耗尽每周额度。
Cloudflare 边缘 TLS 与源站 TLS 不是同一层
访客看到的可能是 Cloudflare 边缘证书，而 Cloudflare 连接 Cloudways 源站时使用另一层加密。Cloudways 的 Cloudflare Origin Certificate 只在经过 Cloudflare 代理时受信任，不能当作浏览器直接访问源站时的公开可信 Let’s Encrypt 证书。
Cloudways 也允许上传第三方自定义证书，但每个应用只能有一个活动证书，新证书会替换旧证书。不要因为 Cloudways 本身不销售证书就直接购买付费证书；应先确认确有免费域名验证证书无法满足的合规或证书类型需求。
购买前执行签发与续期验收
1. 列出根域、每个明确 SAN 与通配符模式，确认总数低于 100。 2. 确认 DNS 服务商允许创建准确的 `_acme-challenge` CNAME，且不存在冲突记录。 3. 在 Cloudways 试用期安装根域加通配符证书，分别测试根域、`www` 与代表性子域的直接 HTTPS。 4. 确认自动续期已开启，记录到期日，并在至少提前 35 天设置独立提醒。 5. 如果使用 Cloudflare 或其他代理，分别测试访客到边缘、边缘到源站两段加密，不要随意暴露源站或削弱安全配置。 6. 每次修改 DNS、域名映射、服务器迁移或证书后，都重新检查 CNAME 和全部主机名。 7. 保存旧 DNS 与证书配置以便回滚；SSL 证书不能替代应用备份。
价格与适用对象
Cloudways 当前价格页显示 Flexible 的 Micro 展示价从每月 11 美元起，按小时、按量计费，并列出免费 SSL。云服务商、服务器规格、地区、税费、带宽与附加项都会影响账单，最终以实时配置为准。
如果免费域名验证通配符 TLS 已足够、一个应用／证书可以覆盖计划中的名称，而且团队能长期维护 DNS 与续期监控，Flexible 适合这类需求。如果 DNS 掌握在无法配合的客户手中、需要超过 100 个标识符、同一应用必须同时保留多个独立证书，或政策要求其他证书类型，就应暂停购买或采用不同架构。
*联盟披露：如果你通过已批准的 Cloudways Flexible 链接购买，Toolnavia 可能获得佣金；这不会改变价格或本文判断。本文不承诺优惠码、续期永不失败或搜索引擎结果。*
运维交叉核验
Cloudways 的综合 SSL 安装指南确认了平台按应用管理证书的流程。Certbot FAQ 提供独立的自动化基准；当前第三方故障排查页则说明，二手建议不能覆盖 Cloudways 当前的资格与限制文档。
