问题概述

在使用1Panel面板申请Let's Encrypt免费SSL证书时，部分用户遇到报错导致证书获取失败。常见错误包括DNS验证超时、ACME客户端返回“403 forbidden”或“连接被拒绝”等。本文梳理典型报错原因及对应解决方案，帮助运维人员快速定位问题。

常见报错及原因分析

1. DNS验证失败（Challenge failed）

Let's Encrypt通过DNS TXT记录验证域名所有权。若DNS解析未及时生效或记录值错误，会提示“Authorization pending”或“DNS problem: NXDOMAIN”。

• 原因A：域名DNS服务器未将TXT记录暴露给公网（如使用内网DNS）
• 原因B：DNS缓存时间过长，TTL未调整至60秒以内
• 原因C：域名在Let's Encrypt侧有配额限制（同一域名每周最多申请50次）

2. HTTP-01验证报错（Connection refused / 403）

若使用HTTP方式验证，Let's Encrypt服务器需通过80端口访问指定路径文件。报错“Connection refused”通常因防火墙或Nginx未开放80端口；报错“403”常因/.well-known/acme-challenge/目录权限不足。

• 解决方法：检查安全组规则，确保80端口对Let's Encrypt IP段开放；修改站点配置允许访问验证目录。
• 注意：1Panel默认使用ACME v2协议，需确认面板版本≥1.0.2且支持最新ACME客户端。

3. 证书申请失败（Rate Limit Exceeded）

Let's Encrypt对每注册域名每周限制50次、每IP每小时限制300次。频繁申请或失败重试会触发限流，返回“too many certificates already issued”。

建议：等待限流窗口过后再试；检查是否重复申请同一域名。

逐步排查与修复

1. 检查1Panel日志：在面板“运维”→“任务日志”中查看详细错误信息，定位是DNS还是HTTP阶段失败。
2. 验证域名解析：使用dig +short TXT _acme-challenge.你的域名确认TXT记录已生效。
3. 临时关闭防火墙：若为测试环境，可临时关闭ufw或firewalld，排除端口封锁问题。
4. 更新ACME客户端：1Panel内置的acme.sh若版本过旧（