域名证书
巴克励步
域名证书（SSL/TLS）保障访客通过 HTTPS 访问自定义域名时的传输安全。Baklib 在 应用设置 → 域名管理 的域名列表与 域名配置 弹窗中管理证书：验证通过的自定义域名可 由平台自动签发 免费证书，也支持 上传自有证书 以满足企业 CA 或通配符策略。
配图来源：操作手册实采。证书签发/上传子面板待 Demo 登录后补拍。
是什么
每个已绑定域名在列表中展示 协议（HTTP / HTTPS） 与部署状态。证书能力分两类：
| 方式 | 说明 | 适用 |
|---|---|---|
| 系统自动签发 | 域名 CNAME/部署验证通过后，在后台触发平台托管的证书申请与续期（Let’s Encrypt 类流程） | 绝大多数 SaaS 自定义子域；运维成本低 |
| 手动配置 | 上传企业或 CDN 提供的证书与私钥（v1.25+ 支持 HTTPS 自定义证书） | 指定 CA、通配符、双向校验或 CDN 侧终止 HTTPS 的特殊架构 |
试用子域名、组织域名与正式自定义域名的证书策略曾分阶段调整：v1.24 起 取消 对组织/试用域名的自动泛域名证书，须完成 CNAME 检查通过 后才允许绑定与颁证，避免未验证域名被滥用。
反向代理模式下，HTTPS 常在 客户 Nginx 终止，Baklib 侧回源可为 HTTP；此时「手动证书」指客户网关上的证书，Baklib 域名配置仍须标记为已部署以保证路由正确。
边界与限制
- 证书与 域名验证状态 绑定；DNS 未生效或模式切换错误会导致续期失败，列表可能回退为仅 HTTP。
- 自动签发依赖平台能访问验证端点；纯内网反向代理若未正确转发 ACME 或验证路径，需改用手动证书或在网关层终止 TLS。
- 上传自有证书时，客户负责到期更换；平台不替代企业 PKI 流程。
- 证书 不替代 访问控制：HTTPS 只加密传输，整站授权仍见 访问控制与授权。
- 备案、CDN 证书与 DCDN 绑定属于运维侧操作，见 域名的委托备案流程是怎样的？ 与私有化 对象存储与 CDN 配置。
典型场景
- 市场活动页：普通模式解析通过后一键启用平台 HTTPS，无需采购证书。
- 集团统一 SSL 网关：反向代理 + 企业通配符证书在 Nginx 配置，Baklib 记录部署状态即可。
- CDN 全站加速：证书常在 CDN 控制台绑定；源站与 Baklib 回源地址的证书策略需与 域名部署与解析模式 中的 CDN 模式一并规划。