宝塔面板 SSL 证书自动续签失败提示验证错误，通常是因为服务器 80 端口无法被外部访问或域名解析未指向当前服务器 IP。优先检查防火墙和安全组放行 80 端口，确认域名解析生效后在面板手动点击续签。
先说结论：验证错误核心在于 Let's Encrypt 无法通过 HTTP 请求访问到服务器上的验证文件，需优先排查网络连通性。
- 先确认：服务器安全组和本地防火墙是否放行 80 端口
- 先处理：检查域名 DNS 解析是否指向当前服务器公网 IP
- 再验证：在面板 SSL 页面手动点击续签并查看任务日志
命令速用版
在服务器终端执行以下命令，快速判断 80 端口连通性和面板日志状态。
curl -I http://你的域名
tail -n 50 /www/wwwlogs/panel.log
若 curl 命令返回 200 状态码，说明 80 端口通畅；若连接超时，需检查安全组。panel.log 中搜索"SSL"关键词可查看续签失败的具体报错。
为什么会这样
宝塔面板默认使用 Let's Encrypt 免费证书，续签采用 HTTP-01 验证方式。
证书颁发机构会向你的域名发起一个 HTTP 请求，尝试访问 `/.well-known/acme-challenge/` 路径下的特定文件。如果服务器 80 端口被阻断、域名解析错误或被 CDN 拦截，验证请求无法到达服务器，就会提示验证错误。
分步处理
按顺序排查以下环节，每完成一步尝试手动续签一次。
1. 检查安全组端口
登录云服务器控制台（如阿里云、腾讯云），检查安全组规则。确保入方向 TCP 80 端口对 0.0.0.0/0 放行。若 80 端口未放行，证书机构无法访问验证文件。
2. 检查域名解析
在本地电脑使用 ping 命令测试域名，确认解析 IP 与服务器公网 IP 一致。若域名解析未生效或未指向当前服务器，验证请求会发送到错误的机器。
3. 检查面板防火墙
进入宝塔面板【安全】页面，检查系统防火墙是否放行了 80 端口。部分系统默认策略可能拦截外部 HTTP 请求。
4. 手动触发续签
进入宝塔面板【网站】-【SSL】-【Let's Encrypt】，勾选域名后点击“申请”或“续签”。不要依赖自动任务，手动操作可即时看到报错信息。
5. 查看任务日志
若手动续签仍失败，点击面板首页【计划任务】，找到 SSL 续签任务，查看执行日志。日志会明确提示是“连接超时”还是“验证文件不存在”。
怎么验证是否生效
续签成功后，可通过浏览器或命令检查证书有效期。
浏览器检查：点击地址栏锁形图标，查看证书有效期是否已更新。
命令检查：
echo | openssl s_client -connect 你的域名:443 2>/dev/null | openssl x509 -noout -dates
观察 notAfter 字段，若日期延后约 90 天，说明续签成功。
常见坑
1. CDN 拦截验证请求
若网站域名接入 CDN，需确保 CDN 回源且放行 `/.well-known/` 路径，或暂时暂停 CDN 待证书续签完成后开启。
2. 触发频率限制
Let's Encrypt 对同一域名有每周 5 次的证书颁发限制。若短时间内多次重试失败，需等待一周后再操作，避免被临时封禁。
3. 伪静态规则冲突
部分伪静态规则可能拦截 `.well-known` 路径的访问。检查网站配置文件，确保该路径不被重定向或禁止。
常见问题
无法放行 80 端口怎么办？
若业务必须关闭 80 端口，可在宝塔 SSL 申请界面选择"DNS 验证”方式。需配置域名服务商的 API 密钥，通过修改 TXT 记录完成验证，无需开放 80 端口。
证书已经过期了还能续签吗？
可以。证书过期不影响续签操作，只要域名解析和 80 端口正常，即可重新申请新证书。但浏览器访问会先提示不安全，需续签完成后刷新。
自动续签任务在哪里查看？
在宝塔面板首页【计划任务】中，类型为"SSL 证书续签”的任务即为自动续签任务。建议保留该任务，但故障排查时优先使用手动续签。