证书：申请失败、续期与握手

证书订单的状态、申请失败的类型与处理、哪些失败会自动重试、续期从何时开始，以及节点握手时怎么选证书、不发 SNI 的客户端会怎样。

订单状态

自动申请和续期的进度在“证书订单与续期状态”页查看（主控地址后加 /dashboard/site/cert/orders），见启用 HTTPS。

“失败原因”列先显示失败类型，展开后是签发机构返回的原文。

类型	典型失败原因	处理	自动重试
DNS 验证	验证 TXT 记录尚未在权威 DNS 全部生效；DNS 解析等待超时；DNS 服务商凭据被拒绝；DNS API 暂不可用	核对 DNS API 的凭据和权限，确认域名的权威 DNS 就是这个服务商	是
DNS 解析域不存在	所选 DNS API 下没有该域名的解析域	换成托管这个域名的 DNS API，或改用文件验证	否
文件验证（HTTP-01）	部分节点版本过低不支持文件验证；域名不是可用站点或站点线路组没有可用节点	升级节点、确认网站已发布到在线节点，或改用 DNS 验证	否
写入验证记录失败	写入 DNS TXT 或节点验证文件失败	通常自愈；持续失败时检查 DNS API 或节点状态	是
签发机构拒绝	签发机构验证域名失败；签发机构拒绝了该订单	展开看签发机构原文，按原文处理	否
需要 EAB	该签发机构要求 EAB 凭据	管理员在“系统设置 → 网站默认 → 证书”填写 EAB，或改用 Let's Encrypt	否
限流或暂时不可达	签发请求过于频繁；签发机构暂时无法连接；账户暂不可用	等待自动重试，不要反复手动重新申请	是
签发收尾与保存	证书签发收尾失败；签发的证书校验未通过；保存证书失败	等待自动重试；持续失败时联系管理员	是
处理中断	处理超时；处理中断；同一订单正在处理中	等待自动重试	是

会自动重试的失败，最多重试 10 次，间隔从 1 分钟开始每次翻倍，最长 1 小时。不重试的失败，重试也只会得到同样的结果，请先处理原因再重新申请。

每个网站绑定一张证书。证书必须覆盖网站的全部域名，否则绑定会被拒绝；节点不会在几张证书之间自己挑选。
通配证书 *.example.com 只覆盖一级子域，不覆盖 example.com 本身。网站同时用裸域时，证书里要包含裸域。
握手时节点按 SNI（客户端在握手里发送的域名）找到网站，再取它的证书。下面几种情况节点直接拒绝握手，不会下发一张不匹配的证书：没有发 SNI；SNI 不是任何网站的域名；网站在这个端口没开 HTTPS；证书缺失、还没生效或已经过期。
因此不发 SNI 的老客户端打不开 HTTPS 网站。
握手后按请求里的 Host 选网站。只有 HTTP/2、HTTP/3 复用连接访问另一个 TLS 设置不同的网站时，节点返回 421，浏览器会为这个域名新开连接。
换证书后，新连接立即用新证书，已经建立的连接不受影响。TLS 会话不会跨网站恢复。

确认网站绑定的证书覆盖访问的域名（尤其是裸域和多级子域），并且网站已发布到你访问的节点。

openssl s_client -connect www.example.com:443 -servername www.example.com -showcerts </dev/null

输出里 Certificate chain 下列出的证书只有一张时，说明上传的证书缺少中间证书，请上传包含中间证书的完整证书链。没有加 -servername 时握手会失败，这是因为节点拒绝不带 SNI 的连接。

DNS 验证要等 TXT 记录在所有权威 DNS 上生效；文件验证要求域名已经解析到节点、网站已发布。超过重试次数后订单会变成失败，失败原因列会说明卡在哪一步。