通配符证书报 http-01 not supported：改认证方式，不是改网站端口

为 *.example.com 申请 Let's Encrypt 证书，面板或 ACME 客户端提示 Challenge type http-01 not supported by authorization: [dns-01]。此时授权要求 DNS-01，而当前流程试图使用 HTTP-01。开放 80 端口、修改网站目录或重启反向代理，不能让 HTTP-01 获得通配符验证能力。

以下针对 Let's Encrypt 的域名通配符申请。先决定是否确实需要通配符，再选择能够完成 DNS 验证的认证方式；不要在同一个不匹配的流程中连续重试正式签发。

核对申请列表和正在使用的认证器

检查本次实际申请的全部名称，不只看面板里显示的主域名。普通域名加上一个 *.example.com 后，即使其他名称支持 HTTP-01，通配符的授权仍需要 DNS-01。

再查看任务使用的认证方式。网站目录、独立 HTTP 服务和网页服务器自动配置，可能仍然走 HTTP-01；选项写着 preferred challenges 为 dns，也不代表客户端已经具备操作 DNS 的认证器。挑选挑战类型和真正发布挑战记录是两项能力。

如果这次根本不需要通配符，可以按业务实际域名列表申请普通证书，并保留适用于那些名称的 HTTP-01 流程。不能为了消除错误随便删掉通配符后上线，让原本依赖它的子域名失去覆盖。

*.example.com 不覆盖 example.com 本身，也不覆盖 a.b.example.com。申请列表要由实际访问域名决定；证书拿到一个通配符，不代表所有层级的名称都得到保护。

需要通配符，就配置真正的 DNS 验证入口

DNS-01 要在 _acme-challenge.example.com 发布本次挑战要求的 TXT 值。该值由本次 ACME 流程给出，不能把网站 A 记录、API Token 或网上的示例值填进去。

先通过权威 DNS 关系确认实际托管区域。域名注册商、网站服务器和 DNS 托管方可以是不同服务商；凭据需要能够操作负责挑战名称的区域，不因为域名在那里购买就认定其面板拥有 DNS 写权限。

无人值守签发和续期需要客户端支持对应 DNS API，或经过验证的认证 hook。查看实际安装入口、可用插件、面板支持的 DNS 提供商和凭据字段，再按该组合的正式流程配置。换成 DNS-01 之后没有写入记录的能力，也不会自动完成验证。

凭据只授权所需区域与操作，保存在受控秘密管理位置，不打印到命令行或公开日志。验证运行在单独受控机器上时，还需设计证书如何安全部署到实际服务；验证成功不代表所有 Web 节点已经取得证书。

若现有 DNS 平台不支持可用的自动化入口，可评估委派挑战子域到验证专用区域，但要确认客户端或平台支持所采用的委派方式及权限范围。不要为一次申请直接迁移整套生产 DNS。

手工 TXT 可完成一次验证，续期需要另作安排

客户端支持手工 DNS-01 时，可以按本次提示发布 TXT，确认各权威响应已经出现准确的当前值后，再让验证继续。面板保存成功或某个递归解析器看到记录，并不能保证所有验证路径已经取得新值。

同名记录可能服务多个仍在进行的挑战，应按记录成员增加和清理，不直接覆盖整个记录集。与这里的错误不同，Incorrect TXT record 等验证失败表示已经进入 DNS 数据核验阶段，需要继续查名称、当前值、委派和传播。

仅手动完成一次 TXT 验证，没有自动化 hook，就不能直接获得无人值守续期。新一轮授权可能要求新的挑战值；长期留下旧 TXT，不是自动续期机制。采用手工方式前，应明确谁会在到期前处理并部署证书。

以完整签发与部署链验收

更改认证方式前，保存原证书、账户状态、续期配置、任务入口及部署 hook，确认旧证书仍可供当前业务使用。先在客户端支持的测试环境核对新流程及副作用，测试证书不能代替正式可信证书。

成功应包括：本次全部授权完成，证书名称覆盖实际访问范围，服务已经加载对应证书，并且续期执行环境以后仍能读取 DNS 凭据、更新 TXT 和完成部署。只看到原报错消失，还不能证明这些后续步骤成立。

失败时保留可用的旧证书和服务配置，按保存的入口恢复原任务，避免两套自动任务争用同一份客户端状态。回退不能恢复已经过期的证书，也不应为了临时访问关闭证书校验。仅清理属于本次已结束挑战的记录，不影响其他申请。