域名已绑定，HTTPS 证书却签发失败？检查主机名、CAA 与验证记录

域名绑定成功，通常只说明托管平台已接收这个主机名，并不代表 HTTPS 证书已签发、已部署或覆盖所有入口。先在平台记录证书状态与报错，再检查对应条件；不要反复删掉域名绑定或清空 DNS 来碰运气。本文聚焦证书签发阶段，页面 404、业务接口故障应另行排查。

先区分签发、部署和访问故障

把问题写清楚，例如“www.example.com 在平台等待验证，而 example.com 已正常访问”。两者是独立检查对象，不能用根域名正常来证明 www 已经就绪。

检查证书是否覆盖实际主机名

记录准备上线的根域名、www 与活动子域名，逐一核对证书覆盖。以 Cloudflare 完整 DNS 接入且仅使用 Universal SSL 为例，默认范围是根域名与一级子域名，更深层级需要相应的证书方案；CNAME 接入模式规则不同。这是特定产品的限制，不能推广为所有托管平台的规则。

域名在哪购买，不决定所有网站证书由谁签发。采用第三方建站平台时，查看那个项目的自定义域名和 HTTPS 说明。代理链路存在时，也应分清访客连接收到的证书与源站证书。

验证记录必须加在权威 DNS

先确认当前 Nameservers 指向哪里，再到实际权威 DNS 服务中修改记录。购买域名的平台与管理解析的平台可能不同。按本次证书申请提供的记录类型、完整名称和值填写，避免将区域后缀重复追加，也不要复用旧申请的验证值。

DNS 验证与 HTTP 验证不是同一流程。Let's Encrypt 的 DNS-01 使用指定 TXT 记录，HTTP-01 则读取约定路径中的挑战响应。不要因为首页能打开就认为验证路径一定可用，也不要在平台未要求时自行增加另一套挑战记录。

Cloudflare 的 TXT 验证可能要求多条值，证书中任一主机名未完成验证都可能阻止签发。核对平台列出的全部记录，并按平台要求复查；不要只验证第一条就结束。保留续期所需的自动化或委派配置，删除记录前先确认具体用途。

CAA 控制谁能签发，不负责把网站连上

CAA 是证书颁发许可，不代替 A、AAAA 或 CNAME，也不代替域名控制验证。使用限制性 CAA 时，应允许本次证书实际使用的 CA；不要照搬别人使用的 CA 列表。Cloudflare 的合作 CA 与配置要求可能变化，以当前产品文档为准。

排查时检查请求主机名、适用的上级域以及 CNAME 目标的 CAA。issue 与 issuewild 的用途不同，通配符申请需要核对对应策略。没有手动添加 CAA，也不代表 CAA 查询必定正常；查询失败与查询成功但没有记录需要区分。

不要把删除全部 CAA 作为默认修复。先保存现有策略，确认谁管理它以及哪些服务还需要签发，再做最小必要调整。更改许可仍不能跳过域名控制验证。

改完后用一张表验收

每次调整后先查验该项结果，再决定下一步。不要连续重复发起申请来代替定位原因，也不要承诺固定等待时长。需要平台支持时，提供主机名、证书状态、错误文字与修改时间；不发送私钥或 DNS API 密钥。验收 HTTPS 后，再继续检查跳转、canonical 和 sitemap，网站可访问与搜索收录分别确认。