微信安全域名

微信安全域名是微信公众平台强制要求开发者绑定的域名凭证，它决定了你的网页能否正常调用微信JS-SDK、进行OAuth2.0授权，以及小程序能否访问指定业务接口，不设置或设置错误，分享卡片、支付、登录这些核心功能会直接罢工。

微信公众平台安全域名是什么？三个容易混淆的概念

先解决最基础的问题,微信公众平台安全域名这个词，很多新手一上来就懵，原因在于它被用在了三个场景里，每个场景的作用完全不同，搞混了，后面调试代码能折腾你一下午。

JS接口安全域名

这是你配置微信JS-SDK时用的域名，什么情况下需要？你在网页里用微信自带的扫一扫、分享、获取地理位置、调起支付，都需要在“公众号设置-功能设置-JS接口安全域名”里填上你的域名，微信服务器会把你的域名和appid绑定，前端调用wx.config时，签名校验会比对当前页面的域名是否在安全列表里，不在，直接报错“invalid signature”，更直白一点，分享按钮点了没反应，扫码功能直接失效。

网页授权域名

这个域名用于OAuth2.0静默授权和用户信息授权，你想拿到用户的openid、头像昵称，就必须在“网页授权域名”里填上那个承载回调接口的域名，注意，它和JS接口安全域名是分开填的，很多开发者只填了前者，导致授权时跳转不过去。

小程序业务域名

如果你做的是小程序,并且内嵌了web-view加载H5页面，那就要配置业务域名，配置好后，用户从小程序里打开的网页，其域名必须在这个列表里，同时你还要把校验文件放到该域名的根目录下，让微信能访问到，这个校验文件和公众号的下载校验文件逻辑一样，但存放路径和验证方式有些差异。

行业共识认为,这三类域名配置的核心逻辑都是“白名单机制”，微信不验证你的服务器是不是真的在这台机器上，而是看你的域名解析到哪台服务器，以及能否通过HTTP或HTTPS访问到那个校验文件。

微信安全域名怎么设置？从入口到校验的完整流程

设置这东西不复杂,但步骤有先后顺序，你按下面这个流程走，能省掉一大半报错时间。

第一步：确认你的域名备案状态

微信公众平台的安全域名有一个硬性门槛：域名必须完成ICP备案，国内服务器要求备案，这是工信部规定，如果你用的是香港或海外服务器，可以不用备案，但微信不认，照样无法配置，所以先查你的域名备案状态，没备案的，先去简米云或酷番云提交备案，走一遍流程，大概一周到两周。

第二步：找到配置入口

登录微信公众平台,左侧菜单栏找到“设置与开发”，点进去后选“公众号设置”，再找到“功能设置”页签，你会看到三个输入框：JS接口安全域名、网页授权域名、业务域名，每个输入框后面都有“修改”链接，点击后需要管理员扫码或输入管理员密码验证身份。

第三步：填写域名并下载校验文件

每个域名输入框都有一个“下载校验文件”的按钮，点下载，得到一个.txt文件，文件名是一串数字和字母的组合，内容也是这一串字符，你需要把这个文件放到你的网站根目录下，例如域名是www.example.com，那文件路径就是https://www.example.com/那个文件名.txt，放好后，先自己在浏览器里访问一下，能直接看到那串字符，说明可访问。

第四步：点击保存，等待微信验证

在输入框里填你的根域名,比如example.com，不要带www，也不要带https://，填完点保存，微信会向该域名发送请求，检查那个校验文件是否存在，存在则通过，几秒钟后提示成功，如果提示失败，多数情况下是文件没放到根目录，或者你的服务器开启了强制重定向，微信请求的时候被跳转到一个不存在的路径了，这时候关掉重定向，或者放一个不带重定向的临时目录。

第五步：设置后需要清除缓存重试

有时候你配置成功了,但线上还是报错，别急，先让前端同事把微信浏览器缓存清掉，或者用调试工具重新加载，微信的域名校验结果有缓存，不是实时生效的，大概等1到5分钟，趁这个时间，去检查一下你页面里请求的域名是不是和填写的一致，有个很常见的问题：你填的是example.com，但页面是用www.example.com打开的，这俩在微信眼里就是两个不同的域名，必须你把www的也加到安全列表里，或者做跳转。

微信js安全域名和业务域名的区别到底在哪

很多人把这两个混为一谈,实际上它们作用的“对象”完全不同，JS安全域名管的是浏览器网页，业务域名叫管的是小程序里的web-view，假如你只做了一个公众号H5，那只需要配置JS接口安全域名；假如你做了小程序，但要内嵌一个H5页面，那就要配置业务域名，两者不冲突，也可能同时存在，但用途别搞串。

• 配置位置不同：JS安全域名在“功能设置”里，业务域名也在“功能设置”里，但那是同一个页面下的三个独立输入框。
• 所需文件不同：JS安全域名需要的是校验文件，业务域名同样需要校验文件，但微信要求更严格，必须同时在校验域名上部署HTTPS证书，如果你用HTTP，微信会拒绝。
• 生效范围不同：JS安全域名影响的是你网页里所有调用微信JS接口的能力；业务域名影响的是小程序web-view里网页的跳转和Cookie存取，业务域名还允许你设置一个“域名校验”的路径，必须是HTTPS，并且证书要完整。

这里有个细节：业务域名配置时，微信会要求你把校验文件放到目标域名的根目录，且校验文件名和内容会在你点击“下载校验文件”后更新，因为每次下载的文件内容可能不同，以最后一次为准，别用之前下载的旧文件去配新域名，会一直报错。

微信安全域名设置失败？多半栽在这五个细节上

你按上面步骤做了,但还是失败，那大概率是掉进了下面这几个坑里。

端口不能自定义

微信安全域名只支持80端口和443端口,你填域名的时候，不能加端口号，比如example.com:8080就是不合法的，如果你的服务器是用nginx监听了其他端口，比如8080，那微信根本访问不到，解决办法是让nginx把80端口的请求转发到你实际运行的端口上，同时把域名解析到这台服务器的IP。

校验文件的后缀别搞错

微信下载的校验文件是.txt后缀，但有些服务器默认屏蔽了txt文件的访问，或者你的nginx配置了重写到伪静态，这时候要用curl命令去测一下本机访问是否正常，打开终端，输入curl -I https://example.com/xxx.txt，看返回状态码，如果是200，没问题；如果是301或302，说明有重定向，微信也会识别为重定向，从而判定失败，你需要关闭这个重定向规则。

域名解析要同时支持IPv4和IPv6

国内核心的云服务商,默认的DNS解析都能同时处理A记录和AAAA记录，但如果你手动加了IPv6记录，而你的服务器没有监听IPv6，微信的校验请求可能走IPv6，超时后失败，遇到这种情况，直接在DNS服务商那里删掉AAAA记录，只保留A记录。

HTTPS证书链要完整

业务域名强制要求HTTPS,同时证书链必须完整，很多开发者使用了免费证书，但中间证书没上传完整，浏览器访问没问题，微信的请求却因为证书链不完整而拒绝，检查方法：用“SSL Labs”的在线工具测一下，评级在B以上基本没问题，还有一个简单的方法：在浏览器里访问你的域名，点击地址栏的小锁，查看证书信息，看是否有“中间证书缺失”的提示。

旧域名残留的校验文件会误导你

如果你更换过域名,比如从old.com换到了new.com，旧的校验文件还留在旧服务器的根目录，微信后台配置新域名时，有时会误以为你在new.com上放了一个旧文件，但实际上新文件内容不同，解决办法是把你目前配置的域名下的所有旧校验文件全部删除，然后再重新下载一次最新文件，放到指定位置。

微信安全域名过期后怎么处理？别再被“过期”吓到

这里要先说明一个事实：微信安全域名本身没有“有效期”这个概念，你配置成功后，它一直有效，除非你手动删除或更换，但很多人说的“过期”，其实是以下两种真实情况：

• 你的域名本身到期了,没有续费，域名一停止解析，微信自然访问不到校验文件，所有功能全部失效。
• 你更换了服务器IP,但是域名解析没更新，或者旧IP上也没有部署校验文件。

遇到这类情况,第一步先去域名注册商后台确认域名状态，续费或改解析，第二步，把校验文件重新上传到新服务器，并在微信后台点击“修改”，删除旧的域名，再重新添加一次，这相当于重新走一遍校验，能触发微信重新抓取。

还有种情况是公司内部人员变动,之前的管理员离职了，后台无法扫码，这种情况别拖延，直接走微信公众平台的“账号找回”流程，需要提供营业执照、法人身份证等材料，申诉时间大约一到三个工作日，处理期间域名配置不会被修改，但新接口调用会受限。

关于微信安全域名的常见问题解答

问：一个微信公众号可以配置几个微信安全域名？

目前JS接口安全域名最多可以配置3个，网页授权域名2个，业务域名2个，这是微信公众平台的硬性规则，如果你有多个子域名需要用到安全域名，比如app.example.com、api.example.com，那每个子域名都是一个独立的域名，不能靠通配符代替，网上有些人说能用通配符，那是旧版本或特殊行业的做法，普通企业号里行不通。

问：微信安全域名必须和服务器所在地区一致吗？

不要求一致,但你的服务器必须是微信能够访问的公网服务器，且域名解析指向该服务器，如果你用的是国内服务器，必须完成ICP备案；如果用香港或海外服务器，域名不需要备案，但校验文件必须放在该服务器的根目录下，同时保证访问速度延迟不要超过2秒，否则微信的请求可能超时，这是业内普遍的经验值，微信官方文档里没有写具体超时时间，但据很多开发者的反馈，延迟过高会导致配置成功率明显下降。

问：配置了微信安全域名，为什么分享出去还是没缩略图？

安全域名只管你能否调用分享接口,但分享卡片里的标题、描述、缩略图，需要你通过JS-SDK里的updateAppMessageShareData等接口主动传入，如果你没写这部分代码，微信会尝试抓取页面里的og:title、og:image等meta标签，抓取机制会优先访问你的安全域名下的页面，如果你的域名里放了一个默认的favicon.ico，但没设置og标签，抓取就会失败，解决办法是确保你的分享页面里有完整的og协议标签，同时图片地址必须是公网可访问的，不能用本地相对路径。