宝塔 / 1Panel / Apache / Docker

面板自己有一套证书目录和命名习惯。这里的原则只有一条：让面板继续用它的文件名，用软链指到平台上传的文件， 这样面板升级、站点重建都不会把你的配置冲掉。

先记住三个文件名

平台上传到「证书路径」的文件名由域名决定，不会变：

宝塔面板

站点证书目录一般是 /www/server/panel/vhost/cert/<站点名>/。把「证书路径」直接填成这个目录，然后在服务器上做软链：

cd /www/server/panel/vhost/cert/example.com

ln -sf example.com_full_chain.pem fullchain.pem
ln -sf example.com_key.pem        privkey.pem
ln -sf example.com_cert.pem       cert.pem

宝塔的站点 nginx 配置本来就读 fullchain.pem / privkey.pem，所以不需要改配置。不要在宝塔里点「申请 Let's Encrypt 证书」，那会把文件改回它自己签的版本。

重载命令：nginx -s reload，在宝塔环境里等价于 /etc/init.d/nginx reload。

1Panel

OpenResty 站点的证书目录通常是 /opt/1panel/apps/openresty/openresty/conf/ssl/<域名>/。同样用软链：

cd /opt/1panel/apps/openresty/openresty/conf/ssl/example.com
ln -sf example.com_full_chain.pem fullchain.pem
ln -sf example.com_key.pem        privkey.pem

1Panel 的站点配置里 ssl_certificate 指向 fullchain.pem，配好软链后不需要改站点。

Apache

<VirtualHost *:443>
    ServerName example.com
    ServerAlias *.example.com

    SSLEngine on
    SSLCertificateFile      /etc/apache2/ssl/example.com/example.com_full_chain.pem
    SSLCertificateKeyFile   /etc/apache2/ssl/example.com/example.com_key.pem

    SSLProtocol             all -SSLv3 -TLSv1 -TLSv1.1
    SSLCipherSuite          HIGH:!aNULL:!MD5
    Header always set Strict-Transport-Security "max-age=31536000"
</VirtualHost>

Apache 2.4.8 之后不再需要 SSLCertificateChainFile：把完整链放在 SSLCertificateFile 里即可。重载：

apachectl configtest && apachectl -k graceful

Docker 里的 Nginx

关键是证书目录必须挂载进容器，重载要在容器内执行：

docker run -d --name nginx \
  -p 80:80 -p 443:443 \
  -v /etc/nginx/ssl:/etc/nginx/ssl:ro \
  -v /etc/nginx/conf.d:/etc/nginx/conf.d:ro \
  nginx:stable

# 证书更新后
docker exec nginx nginx -t && docker exec nginx nginx -s reload

路径速查