SSL/TLS 证书

Web.Casa 利用 Caddy 内置的 ACME 客户端自动签发和续期 SSL/TLS 证书。每个站点可配置五种 TLS 模式之一，以适应不同的部署场景。

TLS 模式

模式	说明	适用场景
自动	通过 ACME HTTP-01 / TLS-ALPN-01 验证从 Let’s Encrypt 或 ZeroSSL 获取证书	公网服务器，80/443 端口开放
DNS 验证	通过 DNS TXT 记录证明域名所有权，使用已配置的 DNS 提供商	NAT/CDN/防火墙后的服务器
通配符（DNS）	通过 DNS 验证为 *.example.com 签发单一证书	一个证书覆盖多个子域名
自定义证书	使用上传的 .pem/.crt + .key 文件	商业 CA 证书、内部 PKI
关闭	仅通过 HTTP 提供服务，不启用 TLS	本地开发、内部服务

自动模式（默认）

创建带有公网域名的站点后，Caddy 自动执行：

1. 向 Let’s Encrypt（首选）或 ZeroSSL（备选）请求证书。
2. 完成 HTTP-01 或 TLS-ALPN-01 验证以证明域名所有权。
3. 为站点配置 HTTPS。
4. 在到期前自动续期。

前提条件：

• 域名的 A（或 AAAA）记录必须指向服务器 IP
• 端口 80 和 443 必须可从互联网访问
• 没有 CDN 或代理拦截验证请求（否则请使用 DNS 验证）

使用内置的 DNS 检查功能在启用站点前验证记录。

DNS 验证模式

对于无法通过 HTTP-01 验证的服务器（位于 NAT、CDN 或防火墙之后），使用 DNS 验证模式。该模式通过 DNS 提供商的 API 创建 DNS TXT 记录来证明域名所有权。

详细设置说明和支持的提供商请参阅 DNS 验证与通配符。

通配符证书

通配符证书覆盖域名下的所有子域名（如 *.example.com），必须使用 DNS 验证模式。

1. 将站点域名设置为 *.example.com。
2. TLS 模式选择通配符（DNS）。
3. 选择已配置的 DNS 提供商。
4. 保存 — Caddy 会自动处理剩余步骤。

*.example.com 的通配符证书不覆盖裸域名 example.com。如需裸域名，请另外创建一个站点。

自定义证书上传

对于商业 CA 或内部 PKI 签发的证书：

1. 进入面板的证书管理页面。
2. 点击上传证书。
3. 提供以下文件：
   • 证书文件 — .pem 或 .crt 格式（包含完整证书链）
   • 私钥文件 — .key 文件
4. Web.Casa 自动解析证书中的域名和到期日期。
5. 将证书关联到一个或多个站点。

支持的格式：

文件	可接受的扩展名
证书 / 证书链	.pem、.crt
私钥	.key

务必包含完整证书链（你的证书 + 中间 CA 证书），以避免浏览器信任错误。

仅 HTTP 模式

将 TLS 模式设为关闭即可通过纯 HTTP 提供站点服务，该站点将禁用所有 TLS 处理。

仅用于本地开发或不暴露到互联网的内部服务。流量未加密。

证书管理

证书管理面板提供所有证书的集中视图：

• 每个证书覆盖的域名
• 签发机构（Let’s Encrypt、ZeroSSL、自定义 CA、自签名）
• 签发日期和到期日期
• 证书是自动管理还是手动上传

可用操作：

• 查看证书详情
• 关联或取消关联证书到站点
• 删除已上传的证书
• 监控到期日期

Web.Casa 会在证书即将到期时发出提醒，让你有充足时间续期或替换。