在宝塔中首次部署 SSL 证书并启用 HTTPS

本文适用于宝塔 Linux 面板管理的已有 Nginx 网站，证书已签发，需要首次启用 HTTPS。以 trustasia.com 为例，请将域名替换为实际信息。开始前，目标网站应已创建，HTTP 访问正常。

操作流程： 准备环境 → KeyManager 导出 → 填写证书与私钥 → 启用 HTTPS → 验证访问。

第一步：确认目标与环境

用管理员账号登录宝塔，确认目标网站能通过 HTTP 访问，保存原网站配置。域名应指向网站入口，服务器防火墙和云安全组允许客户端访问 HTTPS 的 443 端口。

网站前方有 CDN、WAF 或负载均衡时，浏览器可能显示该入口的证书，需要分别配置并检查入口和宝塔网站的 HTTPS。

第二步：通过 KeyManager 导出证书

在自己的电脑上，从 CertCloud 已签发订单中点击“下载证书 → 打开 KeyManager”，同步到保存了匹配私钥的 KeyManager 环境。在“证书管理 → 更多 → 导出证书”选择 Nginx（PEM） 格式，导出后解压到本地。具体图示见KeyManager 下载与导出指南。

准备导出的 Key 文件和 PEM 证书文件，确认域名及有效期。首次部署无需安装自动化工具。

第三步：在面板启用 HTTPS

进入「网站 → 目标网站 → 设置 → SSL → 当前证书」（不同版本以实际界面为准）：

1. 在自己的电脑上使用文本编辑器打开导出的完整证书链 PEM 文件，将全部内容填入「证书（PEM格式）」。
2. 打开同一次导出的私钥文件，将全部内容填入「密钥（KEY）」。文件名以实际导出结果为准。
3. 点击「保存并启用证书」，确认成功提示。

本文使用默认 HTTPS 端口 443。若网站使用其他端口，可在域名管理页面右上角设置 HTTPS 监听端口，第四步访问时使用相同端口。先确认 HTTPS 可以访问，再按业务需要开启强制 HTTPS 或 HSTS。

保留文件中的开头、结尾标记和全部内容。面板提示材料错误时，核对是否选择了匹配文件。

第四步：检查网站访问

在自己的电脑上打开浏览器，访问 https://trustasia.com/。将 trustasia.com 换成宝塔目标网站的域名；第三步端口不是 443 时加上实际端口，例如 https://trustasia.com:8443/。

1. 打开的是自己的网站，浏览器没有“连接不安全”或证书错误提示。
2. 点击地址栏左侧的网站信息按钮，进入连接信息并查看证书，确认域名正确、证书没有过期。
3. 浏览常用页面，确认图片、样式和登录等功能正常。

以上均正常，就完成了 HTTPS 部署。如果网站能打开但仍显示旧证书，或使用 CDN 等代理，按证书检查说明核对。

首次添加 HTTPS 失败时，撤回本次 SSL 与跳转设置或恢复配置备份，确认原 HTTP 业务仍正常；不要删除目标网站或其他网站配置。

后续自动更新

手动维护时自行安排证书更新。需要自动化时，继续阅读宝塔自动更新指南，沿用现有网站及 HTTPS 设置，无需重新完成首次部署。