WPX Business SSL 自动续期：免费证书、Cloudflare 与自定义证书怎么选

先选择最简单的责任模型

如果普通WPX站点的根域名和www都指向WPX，免费证书通常最省维护。WPX可通过控制面板安装，并称其会自动续期。正式依赖前，应确认两个主机名都解析到预期WPX服务、账户邮箱能收到续期通知，而且线上证书仍有足够有效期。

WPX把重定向、第三方CDN、域名转发、错误A或NS记录、分流目标及其所述DNSSEC兼容问题列为潜在续期障碍。这应被理解为WPX系统的排障说明，不能泛化成所有Let’s Encrypt或DNSSEC部署都失败；也不应在没有主机商和注册商诊断时永久关闭安全控制。

[图片1：ssl-timeline-zh-cn.svg]

Cloudflare会形成两层证书边界

使用Cloudflare后，访客先与Cloudflare边缘建立TLS，Cloudflare再与WPX源站建立另一条TLS连接。因此浏览器显示锁形图标，并不能单独证明源站证书有效。Cloudflare Full strict要求源站证书未过期、受信任且主机名匹配。WPX指南说明了有效WPX证书与Cloudflare的配置方式，但并未保证所有代理和续期拓扑都自动成功。

必须分别检查边缘和源站的覆盖范围与到期时间。只有源站已有效时才调整SSL模式；否则更严格模式会暴露源站故障，而较弱模式可能掩盖问题。

[图片2：edge-origin-zh-cn.svg]

根域名、www与别名必须匹配

WPX表示，在正常配置下默认免费证书覆盖根域名和www。自定义证书可以只装在www，这并不会覆盖根域名；主域名与别名也必须明确录入并真正包含在证书覆盖范围内。

购买或迁移前列出全部主机名：根域名、www、别名、结账子域及仍指向其他服务的名称。逐项记录DNS目标、边缘证书、源站证书、负责人和续期方式。证书文件本身可能有效，却因SAN没有包含顾客访问的主机名而失败。

[图片3：hostname-coverage-zh-cn.svg]

哪些情况值得使用自定义证书？

如果合规政策要求指定CA、组织验证、受控密钥流程或明确的别名覆盖，自定义或商业证书才可能有价值。WPX称其不直接销售商业证书，但可以免费集成客户向第三方购买的证书。这不代表证书采购或未来续期本身免费。

自定义证书会增加责任。Cloudflare也说明，上传的自定义边缘证书需要客户自己监控、替换与续期。应先明确谁生成密钥、谁接收过期提醒、谁提供替换链、是否有备用证书，以及如何测试紧急轮换。对于普通博客，价格更高不自动等于更安全；只有托管证书无法满足的明确需求，才构成购买理由。

重定向不是简单的能或不能

WPX警告重定向可能干扰其续期流程；Let’s Encrypt则说明HTTP-01能够跟随有限次数、标准端口上的HTTP或HTTPS重定向。两者并不冲突：协议能够处理部分重定向，不代表主机商自动化、代理规则或目标拓扑一定正确暴露验证文件。

续期失败时，先保存具体主机名、DNS结果、重定向链、CDN代理状态和续期通知，再修改规则。与WPX支持团队执行临时且有记录的修复，确认新证书真正上线后，只恢复仍有必要的规则。

证书签发与WordPress HTTPS是两件事

WPX安装指南把混合内容修复列为证书之后的步骤；WordPress也说明站点URL、反向代理和资源加载需要独立配置。安装后应测试canonical页面、结账、登录、图片、脚本、重定向以及不同语言或站点版本。有效证书不能自动修复写死的HTTP资源，插件也不能扩大证书主机名覆盖范围。

[图片4：responsibility-check-zh-cn.svg]

执行可验证的续期验收

至少在预计到期前30天，记录边缘和源站的签发者、覆盖主机名与到期日；确认WPX账户邮箱，测试根域名与www，检查别名，并复核最近DNS或CDN变更。进入WPX预计续期窗口后，验证实际对外提供的证书是否已经变化，不能只看面板中的“自动”标签。

拓扑简单且希望WPX承担日常生命周期时，免费证书更合适。只有明确的覆盖、身份或合规需求，且已经指定续期负责人时，才选择自定义证书。使用Cloudflare时，应把边缘与源站证据分开。WPX Business可以进入候选，但购买者应重视可观察的续期流程，而不是把“自动”理解成永不失败。

本文不声称存在优惠码、固定价格或续期保证。账期以WPX实时结账为准，商业按钮只对应已批准的WPX Business准确offer。

[查看当前WPX Business offer](/go/wpx-managed-wordpress-business-official-usd)

主要资料： WPX自动续期 https://wpx.net/kb/automatic-ssl-certificate-renewals/ WPX自定义证书 https://wpx.net/kb/how-can-i-install-a-custom-ssl-certificate/ Let’s Encrypt验证类型 https://letsencrypt.org/docs/challenge-types/ Cloudflare Full strict https://developers.cloudflare.com/ssl/origin-configuration/ssl-modes/full-strict/ WordPress HTTPS https://developer.wordpress.org/advanced-administration/security/https/