Hexo博客申请免费SSL证书遇到CAA限制
昨天也是抽空配置好了博客静态文件自动推送到CNB的流程，之前配置的云原生构建脚本有些问题，已做了修改，同步到之前的文章中了，可以刷新浏览器缓存重新查看一下。这篇文章主要介绍我昨天申请免费SSL证书遇到的一些坑。
一、当前结构解析
现在我得博客一共走两种路线，分为国内版和海外版
国内版：本地—hexo d—>CNB—云原生构建—>腾讯云cos存储桶—CDN加速域名&DNS解析—>网页
海外版：本地—hexo d—>GitHub——>Github Pages—DNS解析—>网页
其中我的域名ds6666.fun是在阿里云购买，配置解析也在阿里云，存储桶及CDN加速均在腾讯云，这就使得我配置SSL证书需要在腾讯云侧配置，一般选择申请免费SSL证书，有效期为3个月。
二、申请免费SSL证书
- 在腾讯云SSL证书页面，我的证书下可选择申请免费证书选项。
- 填入域名，验证方式选择手动DNS验证，即到域名商添加一条解析记录。
- 按照指示正确添加解析记录，验证即可。
三、遇到的坑（2026年7月后）
- 以往按照如上步骤添加解析，并验证成功后，大概3-5分钟内就正确签发免费SSL证书了，不过这次一直等到几个小时甚至到第二天仍未签发，于是我联系了腾讯云的客服寻求帮助，了解到是由于我的域名存在CAA限制，导致CA机构无法正确签发证书。
- 可是我确认我自己从未添加过什么CAA限制解析，同时通过网上查询，我了解到可以通过
dig命令来查看域名的解析情况，也并未发现什么CAA的解析限制。
- 于是我又联系到阿里云侧客服询问，同时也继续着手检测网站CAA限制，在免费线上CAA记录检查器发现如下情况，得知是因为GitHub pages侧存在CAA限制。
- 跟客服沟通后得知，域名配置了CNAME记录指向其他域名(如github.io)时，CA机构在签发证书前检查CAA记录会跟随CNAME查询到目标域名。如果目标域名设置了CAA限制，就会导致您的域名无法通过该CA机构的验证，从而签发失败。
- 这个情况在之前一直并未遇到，猜测可能近期github pages侧新更新了CAA限制，于是我按照客服的建议，先暂停了github.io的解析，然后到腾讯云侧重新进行了申请，这次很快就签发下来了。
综上，就是我在最新一次申请免费SSL证书是遇到的问题及解决方案，感谢阅读。有什么疑问，或遇到什么问题可以通过评论或右下角的信息标志给我留言，我会及时回复。
