使用教程

SSL续签工具 · 使用教程

把域名通过一条 CNAME 记录交给平台，证书「签发 + 续签」全自动完成，你不用装客户端、不用登服务器。下面先用一张流程图看全貌，再一步步跟着做。

流程图总览

整个过程只有 6 步，重点在第 ③ 步加一条 DNS 记录、第 ⑤ 步把证书装到你自己的服务器。跟着箭头走就行：

— 跟着箭头走完这 6 步 —

1 准备云服务器 买一台能放网站的机器 → 2 注册并登录 邮箱注册进控制台 → 3 解析 DNS 验证 加 1 条 CNAME 记录 → 4 签发并下载证书 一键签发，下载文件

↓

5部署证书到服务器（按你的环境选一个）

Nginx 环境看详细图文教程 → IIS 环境看详细图文教程 → 宝塔面板看详细图文教程 →

↓

6 自动续签 · 零接触 每 90 天自动续，你不用管

① 准备云服务器

证书签发后需要装到一台「对外提供网站」的服务器上，所以先得有一台云服务器。买服务器分两种情况：

国内服务器（阿里云 / 腾讯云）：访问快、稳定，但域名要备案。做国内合规业务、面向国内用户，强烈建议选国内。
国外服务器（如 Vultr）：免备案、价格更低，但速度和稳定性可能不如国内。

拿不准选哪家、哪个节点快？先用测速工具比一比：ping.inurl.link

新手看这篇：如何买便宜、稳定、速度快的云服务器？

② 注册并登录

打开注册页

访问 /login.html，用邮箱 + 密码注册（建议先选「免费版」体验）。提交后系统会往邮箱发一封验证邮件，点开邮件里的链接才算注册成功。

登录控制台

用邮箱 + 密码登录，进入控制台首页。左侧导航可切换到「域名管理 / 证书监控 / 订阅服务 / 推广中心」等页面，后面都在这里操作。

③ 解析 DNS 验证最关键一步

平台用「CNAME 委派」验证你拥有这个域名——你只需在自己的 DNS 里加 1 条记录，之后签发 / 续签全自动。

添加域名

控制台点「+ 添加域名」，填你要托管的域名（例如 example.com，不要带 https:// 和 /），点「添加并获取 DNS 指引」。

复制 DNS 记录

平台会给出 1 条 CNAME 记录，把「主机记录」和「记录值」完整复制下来：

类型 CNAME | 主机记录 _acme-challenge.example.com | 记录值 xxxx.acme.inurl.link

到域名服务商添加记录

在阿里云 / 腾讯云 / Cloudflare / GoDaddy 等「域名解析」处，新增一条 CNAME 记录，粘贴上面的主机记录和记录值。

主机记录必须是 _acme-challenge，记录值必须一字不差地复制平台给的地址。
这条记录只用于验证，不影响你现有的网站访问和别的解析。
生效通常 1–5 分钟，最长 30 分钟。

回到平台检查解析

在控制台点「我已添加解析 / 检查解析」，显示「DNS 已验证」就成功了。这一步只需做一次，以后不用再动 DNS。

新手看这篇：SSL续签工具 — 如何解析 DNS？（图文一步步）

④ 签发并下载证书

一键签发

在域名列表该域名右边点「签发」。平台通过 DNS-01 验证域名所有权，自动向 Let's Encrypt 申请证书。成功后状态从「待配置」变为「已签发」。

下载证书文件

点「下载证书」，会拿到：你的域名.pem（证书 + 链）、你的域名.key（私钥），以及 你的域名.pfx（Windows / IIS 专用，含私钥和链）。Linux / 宝塔 / Nginx 用前两个，Windows / IIS 用 .pfx。

看总览篇：如何部署 SSL 证书？（含签发 + 下载说明）

⑤ 部署证书到服务器按环境选

证书下载后，要装到你自己的服务器环境里，网站才能用 https 访问。按你用的环境选一篇跟着做：

Nginx 环境

适合自建 Nginx 的 Linux 服务器。改配置、放证书、nginx -s reload 即可。

Nginx 安装 SSL 教程

IIS 环境

适合 Windows 服务器。IIS 不支持 .pem，请下载 .pfx 双击导入，再给站点绑定 443。

IIS / PFX 部署教程

宝塔面板

适合用宝塔管理网站。把证书内容粘贴到站点 SSL 的「其他证书」里保存启用。

宝塔安装 SSL 教程

三种环境部署好之后，用 https://你的域名 访问，浏览器地址栏出现小锁就成功了。

⑥ 自动续签（零接触）

证书有效期 90 天，但你什么都不用做：平台会在到期前 15 天自动续签，复用原私钥，业务无感知。

你不用登录服务器、不用改 DNS。
付费版续签后平台自动部署到宝塔 Nginx（零操作）；所有版本还能一键推送到阿里云 / 腾讯云 CDN（见 ⑪ 云厂商 CDN 自动部署），几十个域名批量自动生效，省去逐个下载替换。
想确认状态？控制台「证书健康看板」会显示剩余天数和下次续签时间。

整个流程跑通后，你只需要：第 ③ 步加一次 DNS、第 ⑤ 步装一次证书。之后 90 天一轮的续签，平台全自动搞定。

⑦ IIS / Windows 部署（必须用 .pfx）

重点：IIS 的「导入证书」向导不支持 .pem / .key 这种文本证书，它只认 Windows 的 .pfx（PKCS#12）格式。所以在 Windows 服务器上，请下载 你的域名.pfx，不要用 .pem。

下载 PFX

控制台「域名管理」→ 该域名点「下载证书」→ 选 你的域名.pfx。下载时会提示设置一个导入密码（建议设置并记好，Windows 导入时要输）。这个文件里已经打包了证书 + 私钥 + 完整证书链。

导入到 Windows 证书库

把 .pfx 拷到 Windows 服务器，双击它 →「安装证书」→ 存储位置选本地计算机 → 证书存储选个人 → 输入导入密码。也可以运行 certlm.msc，右键「个人 → 证书 → 所有任务 → 导入」。

给 IIS 站点绑定 443

IIS 管理器 → 选中站点 → 右侧「绑定」→「添加」→ 类型选 https → SSL 证书下拉里选中刚导入的域名 → 确定。之后用 https://你的域名 访问，地址栏出现小锁即成功。

如果 IIS 证书下拉里看不到证书，通常是导入到了「当前用户」而不是「本地计算机」，请重新按第 2 步导入到本地计算机 → 个人。

命令行方式（PowerShell，管理员）：

Import-PfxCertificate -FilePath "C:\你的域名.pfx" ` -CertStoreLocation Cert:\LocalMachine\My ` -Password (Read-Host -AsSecureString "PFX 密码")

⑧ API 接口使用说明

个人中心里的「我的对接码（API Token）」就是调用开放 API 的凭证，形如 fxq_xxxxxxxx。有了它，你可以用脚本 / 自己的系统自动添加域名、签发、续签、下载证书，不用登网页。

安全：对接码等同于账号密码，不要写进前端代码、不要提交到 Git、不要发给别人。怀疑泄露请立即在个人中心重新生成。

1. 鉴权方式

每个请求带上下面任意一个请求头即可（二选一）：

X-Api-Token: fxq_你的对接码 # 或者 Authorization: Bearer fxq_你的对接码

接口根地址：https://ssl.inurl.link

2. 常用接口

GET /api/v1/me — 查看账号套餐、额度
GET /api/v1/domains — 我的域名列表（含 domain_id、状态、到期）
POST /api/v1/domains — 添加域名，body：{"domain":"www.example.com"}，返回 CNAME 指引
POST /api/v1/domains/{id}/issue — 签发证书（需 DNS 已生效）
POST /api/v1/domains/{id}/renew — 立即续签（复用私钥）
POST /api/v1/domains/{id}/check-live — 探测 443，确认证书是否真的对外生效
GET /api/v1/domains/{id}/cert/download?part=fullchain — 下载证书（part：fullchain / privkey / cert / chain / pfx）
GET /api/v1/domains/{id}/deploy-guide — 各环境部署步骤
GET /api/v1/domains/certs/bundle?format=pfx — 批量打包下载全部已签发证书（ZIP）
GET /api/v1/tools/ssl-check?domain=example.com — 公开接口，检测任意域名的线上证书

3. 示例（curl）

# 看我的域名列表（拿 domain_id） curl -H "X-Api-Token: fxq_你的对接码" \ https://ssl.inurl.link/api/v1/domains # 添加域名（先去 DNS 按返回的 cname_target 配好 CNAME） curl -X POST -H "X-Api-Token: fxq_你的对接码" \ -H "Content-Type: application/json" \ -d '{"domain":"www.example.com"}' \ https://ssl.inurl.link/api/v1/domains # 签发 curl -X POST -H "X-Api-Token: fxq_你的对接码" \ https://ssl.inurl.link/api/v1/domains/<domain_id>/issue # 下载 PEM 证书（按 Content-Disposition 自动命名） curl -OJ -H "X-Api-Token: fxq_你的对接码" \ "https://ssl.inurl.link/api/v1/domains/<domain_id>/cert/download?part=fullchain" # 下载 IIS 用的 PFX（可带导入密码） curl -OJ -H "X-Api-Token: fxq_你的对接码" \ "https://ssl.inurl.link/api/v1/domains/<domain_id>/cert/download?part=pfx&password=你的密码"

4. 返回码说明

200 成功；400 参数不对 / 证书还没签发；401 对接码缺失或无效；403 邮箱未验证 / 额度不足；404 域名不存在或不属于你。
签发是同步操作，DNS 生效后通常 10–60 秒返回；失败会在 detail 里给出原因。

⑨ 几十个域名批量部署

手里的域名多（比如几十个），逐个点下载太累，可以按下面的方式批量处理。

方案 A：批量下载 ZIP（推荐，最省事）

把所有域名加进平台

每个域名只做一次：控制台「添加域名」→ 按提示在自己的 DNS 加一条 _acme-challenge 的 CNAME → 点「签发」。之后续签全自动，不用再管。

一键批量下载

「域名管理」右上角点「批量下载证书」，选择是否包含 .pfx（Windows 服务器选包含），得到 ssl-certs-日期.zip。解压后结构：

ssl-certs/ ├── www.example.com/ │ ├── www.example.com.pem # 证书（含链） │ ├── www.example.com.key # 私钥 │ ├── www.example.com.pfx # Windows/IIS（选了 pfx 才有） │ └── README.txt └── api.example.com/ ├── api.example.com.pem ├── api.example.com.key └── ...

方案 B：Linux / Nginx 批量脚本

把上面的 ZIP 解压到服务器（如 /root/ssl-certs），保存下面脚本为 deploy-nginx.sh 并执行：

#!/usr/bin/env bash set -e SRC="${1:-/root/ssl-certs}" # 解压后的目录 DST="/etc/nginx/certs" mkdir -p "$DST" for d in "$SRC"/*/; do name=$(basename "$d") [ -f "$d/$name.pem" ] || continue mkdir -p "$DST/$name" cp "$d/$name.pem" "$DST/$name/fullchain.pem" cp "$d/$name.key" "$DST/$name/privkey.pem" chmod 600 "$DST/$name/privkey.pem" echo "已就位: $name" done echo "证书已放到 $DST/<域名>>/，站点里这样填：" echo " ssl_certificate $DST/<域名>/fullchain.pem;" echo " ssl_certificate_key $DST/<域名>/privkey.pem;" echo "改完执行：nginx -t && nginx -s reload"

如果你用宝塔，把每个域名目录里的 .pem 和 .key 内容分别粘到对应站点的「SSL → 其他证书 → 证书 / 密钥」即可。

方案 C：Windows / IIS 批量脚本

把 ZIP 解压到 C:\ssl-certs，用管理员 PowerShell 运行：

$src = "C:\ssl-certs" $pw = Read-Host -AsSecureString "PFX 导入密码" Get-ChildItem $src -Directory | ForEach-Object { $domain = $_.Name $pfx = Join-Path $_.FullName "$domain.pfx" if (!(Test-Path $pfx)) { Write-Host "跳过 $domain（无 pfx）"; return } $cert = Import-PfxCertificate -FilePath $pfx ` -CertStoreLocation Cert:\LocalMachine\My -Password $pw Write-Host "已导入 $domain 指纹=$($cert.Thumbprint)" # 若 IIS 已存在该域名的 443 绑定，则把证书替换成新的 netsh http update sslcert hostnameport="$domain`:443" ` certhash=$($cert.Thumbprint) certstorename=MY ` appid="{4dc3e181-e14b-4a21-b022-59fc669b0914}" }

方案 D：API 全自动（适合自有运维系统）

如果域名经常增减、想接进自己的运维平台，用第 ⑧ 节的 API：GET /api/v1/domains 拿列表 → 逐个 renew → cert/download 保存 → 用你的发布系统下发。整个流程可以完全脚本化。

续签注意：证书 90 天一轮。手动方案（A/B/C）续签后需重新下载并替换，建议把脚本加进 cron / 计划任务每月跑一次；更省心的做法是直接用平台的自动部署——付费版推送到宝塔 Nginx、或见 ⑪ 云厂商 CDN 自动部署一键推送到阿里云 / 腾讯云 CDN，几十个域名续签后批量自动生效，零操作。

常见问题

Q1：配置 CNAME 后多久能签发？

DNS 全球生效通常 1–5 分钟，最长 30 分钟。若长时间提示「待配置」，请检查主机名、记录值是否完全正确（必须是 _acme-challenge 那条）。

Q2：根域名（裸域，如 example.com）支持吗？

传统 DNS 根域不支持 CNAME。建议用 www.example.com 这类子域做 CNAME；若必须用根域，请选择支持 ANAME / ALIAS 的 DNS 服务商。

Q3：证书私钥安全吗？

证书签发在平台侧完成（平台持有证书与用于签发的私钥，这与任何托管型证书服务——如 Cloudflare Universal SSL、各类 CA 的 ACME 签发——是同一信任模型）。同时你也可以把证书下载后只部署到自己服务器，平台拿不到你的业务服务器、业务数据和任何云账号密钥。你授权给平台的只有一条 _acme-challenge 验证记录的 CNAME，详见上方「⑩ 安全说明」。

Q4：不想用了怎么取消托管？

在你的 DNS 控制台删除指向平台的 _acme-challenge CNAME 记录，平台无法完成验证，即停止为该域名签发 / 续签。

Q5：新手从哪开始最省事？

按顺序：① 买服务器（云服务器教程）→ ② 注册登录 → ③ 解析 DNS（DNS 教程）→ ④ 签发下载 → ⑤ 按环境部署（Nginx / IIS / 宝塔）。卡在哪一步，点对应教程的「看详细图文教程」就行。

⑩ 安全说明：把域名交给平台，到底安不安全？

很多人第一次看到「把 DNS 委派给平台」会担心：会不会被接管域名？会不会偷我数据？下面把授权范围讲清楚，你可以放心使用。

只托管 1 条验证记录

你只需在自己的 DNS 加一条 _acme-challenge 的 CNAME。平台只能在这条记录下临时写一段验证文本（TXT），读不到也改不了你的 A/MX/其他解析，更碰不到网站流量和邮箱。

比「自己搞」权限更小

传统 certbot + Cloudflare 方案，要把整个域名的全局 API 密钥交给脚本（= 整个 DNS 控制权）。我们的 CNAME 只开了一个沙箱口子，权限严格更小，其实更安全。

不登服务器、不碰数据

平台不登录你的服务器、不读取任何业务数据、也不需要你的云账号密钥。签发续签全自动，你全程只在自己 DNS 点了一下。

随时可一键撤销

不想用了？在你的 DNS 删掉那条 CNAME，平台立刻无法验证、自动停止签发续签。控制权始终在你自己手里。

授权范围对比：交给平台 vs 自己用脚本

能力	SSL续签工具（CNAME）	传统 certbot + 全局密钥
改动网站 A 记录	✗ 不能	✓ 能（全局密钥）
改动邮箱 MX 记录	✗ 不能	✓ 能
读取 / 篡改其他子域	✗ 不能	✓ 能
只在验证子域写 TXT	✓ 只能	✓ 能
权限范围	最小沙箱	整域最高权限

简单说：你交给平台的，只是「在一条验证记录下临时写字」的权限；而传统脚本往往拿走「整个域名的最高权限」。所以用 CNAME 委派，比你自己用全局密钥跑脚本还要安全。

⑪ 云厂商 CDN 自动部署（阿里云 / 腾讯云）

域名多（几十个）、又都挂在阿里云 / 腾讯云 CDN 上？与其每次续签后挨个去 CDN 控制台上传证书，不如填一份最小权限的 AccessKey，让平台在签发 / 续签后自动把证书推到你的 CDN——几十个域名零操作。

最小授权原则（和本站「⑩ 安全说明」一脉相承）：你给平台的 AccessKey 只用于「上传证书 + 绑定到指定 CDN 域名」，绝不需要读账号余额、删资源、管子账号等权限。请新建一个 RAM 子账号 / 子用户，只挂下面「RAM 最小权限策略」一条策略，用它的 AccessKey。平台库里只存密文，绝不上传明文，子账号动不了你账号里的钱与其他资源。

它解决什么痛点

批量部署：几十个域名，续签后自动逐个推到云 CDN，不用你挨个下载再上传。
零操作：证书 90 天一轮，每次换发平台自动推送，你的网站 HTTPS 始终有效。
最省心：和「宝塔 Nginx 自动部署」互补——域名分散在多环境时，用云厂商 API 推送最合适。

操作步骤

新建云部署通道

控制台左侧「自动部署」→ 切到 「云厂商 CDN 自动部署」 标签 → 点 「+ 新增云部署通道」。选云厂商（阿里云 / 腾讯云），填通道名（如「生产-阿里云」）、AccessKeyId、AccessKeySecret、区域（留空用默认）。

填完可先点 「测试连接」 验证凭据有效，再点 「保存通道」。凭据会立即加密存储，库里只有密文。

给域名绑定通道

在同一页下方「域名与通道绑定」里，给需要推送到云 CDN 的域名，从下拉框选一个通道。绑定后：

立即推送：点该域名右侧「部署到云」，马上把当前证书推到云 CDN。
自动推送：付费版在签发 / 续签成功后，平台自动调用云厂商 API 推送（零操作）。

批量部署（可选）

通道列表里点 「批量部署」，会把该通道关联的所有已签发域名一次性推到云 CDN，结果逐域名反馈成功 / 失败，适合首次把历史域名全量推上去。

免费版也能用「手动部署到云」（点「部署到云」），只是不带「签发续签后自动推送」；自动推送属于付费版能力。无论哪个版本，凭据安全模型完全一致。

RAM 最小权限策略（务必按此授权）

在阿里云 / 腾讯云 RAM 控制台新建一个子账号 / 子用户，只挂下面对应一条策略，用它的 AccessKey。不要给主账号、不要给全局密钥。

阿里云 CDN

只需 cdn:SetCdnDomainSSLCertificate 一个动作：

{ "Version": "1", "Statement": [ { "Effect": "Allow", "Action": "cdn:SetCdnDomainSSLCertificate", "Resource": "*" } ] }

腾讯云 CDN

只需 ssl:UploadCertificate + cdn:UpdateDomainConfig：

{ "version": "2.0", "statement": [ { "effect": "allow", "action": ["ssl:UploadCertificate", "cdn:UpdateDomainConfig"], "resource": ["*"] } ] }

注意：以上策略只授权「上传证书 + 绑定到 CDN 域名」。即便 AccessKey 泄露，对方也无法删你的资源、动你的钱、读别的证书——影响面被严格限制在「这几张 SSL 证书」里。怀疑泄露，在云厂商 RAM 控制台一键禁用该子账号的 AccessKey 即可止血。

常见问题

推送到 CDN 后还要不要在自己服务器上传证书？不冲突。CDN 边缘节点用这份证书，源站 / 回源可以按你自己的习惯配，两者证书可独立管理。
续签后 CDN 会自动用新证书吗？付费版会。平台续签成功后自动调云厂商 API 重新绑定新 CertId，CDN 边缘立即生效。
能推到非 CDN 环境吗（如 SLB / WAF / 对象存储）？当前支持阿里云 CDN、腾讯云 CDN 两种目标；其它目标在规划中，欢迎反馈需求。

SSL续签工具 · 使用教程

流程图总览

① 准备云服务器

② 注册并登录

打开注册页

登录控制台

③ 解析 DNS 验证 最关键一步

添加域名

复制 DNS 记录

到域名服务商添加记录

回到平台检查解析

④ 签发并下载证书

一键签发

下载证书文件

⑤ 部署证书到服务器 按环境选

Nginx 环境

IIS 环境

宝塔面板

⑥ 自动续签（零接触）

⑦ IIS / Windows 部署（必须用 .pfx）

下载 PFX

导入到 Windows 证书库

给 IIS 站点绑定 443

⑧ API 接口使用说明

1. 鉴权方式

2. 常用接口

3. 示例（curl）

4. 返回码说明

⑨ 几十个域名批量部署

方案 A：批量下载 ZIP（推荐，最省事）

把所有域名加进平台

一键批量下载

方案 B：Linux / Nginx 批量脚本

方案 C：Windows / IIS 批量脚本

方案 D：API 全自动（适合自有运维系统）

常见问题

Q1：配置 CNAME 后多久能签发？

Q2：根域名（裸域，如 example.com）支持吗？

Q3：证书私钥安全吗？

Q4：不想用了怎么取消托管？

Q5：新手从哪开始最省事？

⑩ 安全说明：把域名交给平台，到底安不安全？

只托管 1 条验证记录

比「自己搞」权限更小

不登服务器、不碰数据

随时可一键撤销

授权范围对比：交给平台 vs 自己用脚本

⑪ 云厂商 CDN 自动部署（阿里云 / 腾讯云）

它解决什么痛点

操作步骤

新建云部署通道

给域名绑定通道

批量部署（可选）

RAM 最小权限策略（务必按此授权）

阿里云 CDN

腾讯云 CDN

常见问题

③ 解析 DNS 验证最关键一步

⑤ 部署证书到服务器按环境选