面板自带 DNS-01 有缺陷：把 ACME 授权标识符直接当 DNS 托管主域传给服务商，阿里云报 InvalidDomainName.NoExist，根因是缺少待签域名到托管主域的解析。规避可用 acme.sh 的 dns_ali 做 DNS-01 签发，覆盖 tunnel.sushike.cloud 与 *.t.sushike.cloud，cron 自动续期并触发 nginx 重载，且不要再导入面板以免双重续期。常规申请可在面板选 HTTP-01，需 80 端口公网可达；证书落 ./certs/<域名>/，nginx 已挂载。申请后需 docker compose restart nginx；自动续期后 nginx 不会自动重载，默认仍需手动 restart。