免费公共子域名与全套免费 HTTPS 科普:从 sslip.io 说起
一个很常见的尴尬
你在云服务器上跑了个服务(比如上一篇聊的 Casdoor),想用 HTTPS 访问,却卡在三步上:
- 要 HTTPS 就得有证书,证书一般要绑定域名;
- 要域名就得先买,再配 DNS 解析;
- 只是想测试或自用,为此花钱、等解析生效、折腾证书,有点不值。
免费公共子域名就是用来绕开这些步骤的。别人已经有了一个域名,把它的子域名免费开放给大家用,配合自动 DNS 解析和免费证书,几分钟就能得到一个带锁头的 HTTPS 地址。
最特别的一类:sslip.io(把 IP 写进域名里)
它怎么工作
sslip.io 的思路很巧:你不用注册、不用配置,只要把 IP 地址写进主机名,它的 DNS 服务器就会把这个名字解析回那个 IP。 官方首页给的例子:
64-176-22-9.sslip.io→ 解析到64.176.22.9www-78-46-204-247.sslip.io→ 解析到78.46.204.247(前面可以加任意前缀)--1.sslip.io→ 解析到 IPv6 的::1(IPv6 要用短横线,不能用点)
官方说明 nip.io 和 sslip.io 是同类的 DNS 服务,两个域名可以互换使用,已运行十年以上,服务器每秒处理超过两万次查询。
它的原理是:DNS 服务器收到查询,解析主机名里嵌入的 IP,再原样返回。没有数据库、没有账号,所以"注册"这一步直接消失了。
小历史
- nip.io 由 Roopinder Singh 创建,2012 年注册;sslip.io 则是 2015 年在 Pivotal 的一次 Hack Day 上做出来的。
- Roopinder 于 2024 年 5 月去世,他的家人在 2025 年 7 月把 nip.io 域名转交给 Brian Cunnie 继续运营,如今 nip.io 已并入 sslip.io 的体系。
- 前辈 xip.io 已经停止服务。
局限要知道
- 名字不好记:官方 FAQ 也承认,IP 嵌在域名里就是不好记,换不成
my-server.sslip.io这种名字。 - 目标 IP 要能被访问到:它只负责"名字到 IP",不负责让你的服务器可达。
- 不支持通配符证书:官方明确写了 nip.io 和 sslip.io 不支持 wildcard 证书。
- 可被滥用:既然任何人都能造出
paypal-secure.xxx.sslip.io这样的名字,就存在被钓鱼网站利用的风险。第三方评测也提醒,这类看起来像官方的地址,实际由造出它的人控制,与 sslip.io 本身无关。官方表示重视滥用举报,并承诺在 24 小时内回复。所以看到陌生的*.sslip.io链接要多留个心眼。
还有哪些热门的免费域名
按用途大致分四类:
| 类型 | 代表 | 特点 |
|---|---|---|
| IP 嵌入式通配 DNS | sslip.io、nip.io、traefik.me、backname.io | 零注册,适合测试和内网演示 |
| 动态 DNS(DDNS) | DuckDNS、FreeDNS(afraid.org)、No-IP | 能自选名字,IP 变了可自动更新,适合家庭服务器 |
| 开发者子域名 | is-a.dev、js.org、eu.org、us.kg 等 | 需要申请审核,名字好记,适合个人站点 |
| 托管平台自带域名 | github.io、pages.dev、vercel.app | 随托管服务附赠,自带 HTTPS |
几点说明:
- sslip.io 官方列出的"相关服务"有 traefik.me、backname.io、afraid.org(FreeDNS)和 ipq.co,其中后两者不需要把 IP 写进主机名。
- 一份子域名服务商清单把 DuckDNS 列为简单易用的免费动态 DNS,把 FreeDNS 评价为社区大、功能多,把 No-IP 描述为有免费和付费两种方案。
- GitHub 上的另一份清单还列出了 js.org、is-a.dev、eu.org、us.kg 等免费子域名提供方。其中 eu.org 的目标是给负担不起注册费的个人或非营利组织提供免费子域名。
- 这类服务没有长期保证。条款和可用性会变,前面提到的清单里就收录了已经停运的服务。重要业务不要把命运押在一个免费子域名上。
关于 traefik.me 的一个教训:它曾经提供一份公开下载的 *.traefik.me 通配符证书,方便本地开发。但这份证书在 2025 年 3 月被 Let’s Encrypt 吊销了,而且不会恢复。维护者在 GitHub 上也回复说不再提供通配符 SSL 证书。这个例子说明:"大家共用一把私钥"的证书思路已经行不通了,现在的正路是每个人给自己的主机名单独申请证书。
全套免费 HTTPS:怎么拿到证书
核心思路
证书颁发机构(CA)要确认"这个域名确实归你管"。最省事的办法是 HTTP-01 验证:CA 访问你服务器上的某个地址,能访问通就说明你控制着它。
sslip.io 官方推荐的正是这条路:用 Let’s Encrypt 等 CA 的 HTTP-01 挑战,为每个主机名单独申请证书,只要机器上跑着 Web 服务器即可,Caddy 就是最常见的选择。官方还澄清了一个流传很广的误解:2015 年 sslip.io 曾有一周时间泄露过自己通配符证书的私钥,证书很快被吊销,现在它已不再维护通配符证书,所以由 Let’s Encrypt 或 ZeroSSL 为各主机名独立签发的证书是有效且安全的。
最小可用方案(三步)
假设你的公网 IP 是 203.0.113.10:
- 开放端口:安全组/防火墙放行 80 和 443;
- 用 Caddy 做反向代理,Caddyfile 只需:
casdoor.203-0-113-10.sslip.io {
reverse_proxy localhost:8000
}
- 启动 Caddy:它会自动申请证书、自动续期、自动把 HTTP 跳转到 HTTPS。
于是 Casdoor 就有了一个带 HTTPS 的地址。别忘了把 Casdoor 配置文件 conf/app.conf 里的 origin 改成这个公网地址(README 的安全建议里也提到了这一点)。
这套组合全部免费:域名(sslip.io)+ 解析(自动)+ 证书(Let’s Encrypt)+ 自动化(Caddy)。
新选项:直接给 IP 发证书
Let’s Encrypt 从 2026 年 1 月 15 日起,正式开放 IP 地址证书(IPv4 和 IPv6)和短期证书。IP 地址证书必须使用短期证书,有效期 160 小时,略多于六天,需要在 ACME 客户端里选择 “shortlived” 配置档。sslip.io 官方也把 IP 地址证书列为遇到限流时的备选方案。
这意味着连子域名都不是必需的了。代价是证书只有六天,必须配好自动续期。
常见的坑
1. Let’s Encrypt 限流。 共用同一个注册域名的人太多,额度会被用光。官方规则是同一个注册域名每 7 天最多签发 50 张证书。热门服务因此经常被限流。sslip.io 官方说,Let’s Encrypt 已多次提高他们的额度,从 50 提高到了 25 万张。如果还是被限,官方建议换用另一个域名(nip.io 不行就试 sslip.io)、改用 IP 证书,或者换用同类服务。
2. 内网 IP 申请不了公网证书。 192-168-1-10.sslip.io 能解析,但 Let’s Encrypt 无法从公网访问你的内网机器,HTTP-01 验证会失败。内网场景要么用 DNS-01 验证加自己的域名,要么在本地用 mkcert 这类工具生成受本机信任的证书。
3. 要通配符就不能用这种方式。 通配符证书只能通过 DNS-01 挑战获取。这时可以选一个允许你自己管理 DNS 记录的免费服务(例如 DuckDNS、FreeDNS),再用支持对应 DNS 插件的 ACME 客户端申请。具体支持情况请以各客户端的文档为准。
4. 反复调试别用正式环境。 失败的申请同样会消耗额度。Let’s Encrypt 建议调试时用它的 staging 环境,那里的额度高得多。
怎么选?
| 你的场景 | 推荐 |
|---|---|
| 临时测试、演示,有公网 IP | sslip.io / nip.io + Caddy |
| 不想把 IP 写进域名,要稳定的固定名字 | DuckDNS / FreeDNS 等 DDNS |
| 个人站点、想要好记的名字 | is-a.dev、eu.org 等(需申请审核) |
| 纯静态页面 | github.io、pages.dev |
| 内网或本地开发 | mkcert,或自己的域名加 DNS-01 |
| 正式生产业务 | 买一个自己的域名 |
小结
免费公共子域名加自动 DNS 解析加免费证书,解决的是"没有域名、想快速上 HTTPS"的问题。sslip.io 把这件事压到了最简:写出带 IP 的主机名,让 Caddy 自动申请证书,全程不花钱、不注册。它适合测试和自用,但名字不好记、不支持通配符,还要留意限流与被钓鱼滥用的风险。真正对外长期服务的系统,还是建议拥有一个自己的域名。
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/weixin_52236586/article/details/170295999
