宝塔SSL证书列表不显示是因为默认只列已部署证书；需分别检查网站SSL页、已申请证书页及手动导入路径；过期证书仍可访问是因缓存或配置未更新；续签前须确认DNS、.well-known权限及Nginx配置路径同步。
宝塔面板里看不到 SSL 证书列表？先查这三处
不是证书没加载，而是宝塔默认只显示「已部署到网站」的证书，手动上传但没绑定的、过期未续的、或通过命令行添加的证书，SSL 页面通常不列出来。
实操建议：
- 进
网站→ 点开具体站点 →SSL标签页，这里才显示该站点当前绑定的证书详情 - 去
SSL（左侧菜单）→ 点右上角申请证书旁边的下拉箭头 → 选已申请的证书，才能看到所有通过宝塔申请/导入过的证书（含未绑定的） - 如果证书是用
acme.sh或certbot手动申请的，宝塔不会自动识别，需手动点击其他证书→导入，路径填/etc/letsencrypt/live/域名/fullchain.pem和/etc/letsencrypt/live/域名/privkey.pem
证书显示「已过期」但网站还能访问？别信浏览器小绿锁
HTTPS 握手成功 ≠ 证书有效。浏览器缓存了旧会话、CDN 返回了缓存页、或 Nginx 没重载配置，都可能让过期证书继续“工作”。
关键判断依据只有两个：openssl x509 -in /www/server/panel/vhost/cert/域名/fullchain.pem -noout -dates 查真实有效期；用 curl -I https://域名 看响应头是否含 subjectAltName 匹配。
常见错误现象：
- 宝塔界面显示「已过期」，但
nginx -t通过、网站能打开 → 很可能是 Nginx 还在用旧证书文件（改名备份后没更新配置里的ssl_certificate路径） - 续签按钮灰掉 → 检查域名 DNS 是否解析正常，且
/.well-known/acme-challenge/路径没被伪静态或防盗链拦截 - 用泛域名证书绑了子站，但主站打不开 → 宝塔默认不自动把
*.a.com用于a.com，得手动在站点 SSL 设置里勾选「同时匹配主域名」
批量更新多个网站的证书，不能只点「一键续签」
宝塔的「一键续签」只处理「状态为‘已到期’或‘即将到期’且绑定到网站」的证书，对「手动导入」「自签名」「证书文件被移动过」的完全无视。
真正可靠的批量操作方式：
- 进
SSL→已申请的证书→ 勾选多个证书 → 点续签（不是顶部那个全局按钮） - 若提示「域名验证失败」，先确认所有对应网站的根目录下
.well-known可写，且没被location ^~ /.well-known/类规则屏蔽 - 续签后必须逐个进网站 →
SSL→ 点设置→启用，否则新证书不会生效（宝塔不会自动切换） - 脚本党可直接跑：
/www/server/panel/pyenv/bin/python /www/server/panel/class/acme.py --renew=域名，但注意路径权限和 Python 环境隔离
证书文件路径变了，Nginx 配置却没更新？这是最常被忽略的断点
宝塔每次续签或导入证书，都会生成新目录（如 /www/server/panel/vhost/cert/域名_20240510），但老站点的 Nginx 配置仍指向旧路径，导致 reload 后证书无效。
检查方法很简单：grep ssl_certificate /www/server/panel/vhost/nginx/域名.conf，看路径是否和 SSL 页面显示的「证书路径」一致。
修复步骤：
- 手动编辑配置，把
ssl_certificate和ssl_certificate_key改成新路径（注意末尾是fullchain.pem，不是cert.pem） - 或者更稳妥：进网站 →
SSL→ 关掉再打开「SSL」开关，宝塔会自动重写配置并 reload - 千万别直接复制粘贴路径——宝塔路径里带空格或中文时，Nginx 会静默失败，
nginx -t却显示 success
证书管理真正的复杂点不在申请，而在路径、配置、服务三者的实时对齐。只要有一环没动，就等于白续。
