宝塔面板原生不支持国密SM2证书，需手动编译含nginx_gm模块的Nginx、使用加密SM2私钥与纯SM2证书链，并在配置中指定国密SSL参数及套件。
宝塔面板原生不支持国密SM2证书的自动识别与配置，必须手动修改Nginx配置文件并启用国密兼容模块（如），否则直接上传SM2证书会触发或错误。
确认Nginx是否已编译国密支持模块
国密SSL依赖底层Nginx对SM2/SM3/SM4算法的支持，官方Nginx不包含该能力。宝塔默认安装的Nginx（
输出中不含
）无法加载SM2私钥。
执行
，无输出即未启用国密模块
若未启用：需卸载当前Nginx，重新编译安装带
的定制版本（推荐使用
tasshu/nginx_gm
）
编译时必须开启
并指定国密版OpenSSL（如
）路径
验证：成功后
应通过，且
显示
模块路径
准备SM2证书链与密钥格式
国密证书不是简单替换PEM文件——SM2私钥必须为
格式（含
头尾），且不能是PKCS#8未加密裸密钥；证书链需合并为单个PEM文件，顺序为：站点证书 → SM2中级CA → SM2根CA。
SM2私钥若为
格式，需用
转换加密
证书链中不能混入RSA证书；若CA仅提供RSA根证书，需向CA申请纯SM2信任链
宝塔Web界面上传时，会自动校验密钥格式，遇到
即说明私钥未加密或算法不匹配
建议将最终文件统一命名为
（证书链）和
（加密私钥），避免路径混淆
手动修改Nginx站点配置启用SM2
宝塔不会为SM2生成专用server块，必须在站点配置的
块内手动添加国密相关指令，并关闭默认SSL参数冲突项。
Nginx
在宝塔面板中轻松管理Nginx高性能Web服务器。提供可视化配置反向代理、负载均衡、SSL证书及HTTP缓存功能，一键优化高并发性能，助您高效搭建稳定、快速的网站运行环境。
下载
在宝塔「网站」→「设置」→「配置文件」中，找到对应站点的
块，在
下方插入：
删除或注释掉原有
和
行（避免重复定义）
禁用
（SM2不使用DH密钥交换）
必须显式指定国密套件，不能依赖默认值；
是基础兼容套件
修改后务必执行
验证语法，再
生效
验证SM2握手是否生效
浏览器直接访问无法判断是否走SM2（Chrome/Firefox不支持国密套件显示），必须用命令行工具探测。
使用国密版
成功响应中应出现
、
若返回
，常见原因是：私钥未加密、证书链缺失SM2根证书、Nginx未加载
模块
注意：部分WAF或CDN会终止SM2握手，验证前确保请求直连源站IP
SM2部署真正的难点不在配置语法，而在于整条信任链的闭环——从OpenSSL编译、Nginx模块集成、到CA签发策略，任一环节用RSA替代都会导致握手失败。别跳过
这一步，肉眼看不到的协商细节，全靠它暴露。
nginx_gmSSL_CTX_use_PrivateKey_file() failedunknown certificate typenginx -V--add-module=../nginx_gmnginx -V 2>&1 | grep -o "nginx_gm"nginx_gm--with-http_ssl_module --with-openssl=../gmsslgmssl 3.0+nginx -tnginx -Vnginx_gmENCRYPTED PRIVATE KEY-----BEGIN ENCRYPTED PRIVATE KEY----------BEGIN EC PRIVATE KEY-----gmssl ec -in key.pem -out key_enc.pem -aes256key is not validfull_chain_sm2.pemprivkey_sm2.pemserverserverlisten 443 ssl http2;ssl_certificate /www/wwwroot/your-site/full_chain_sm2.pem;
ssl_certificate_key /www/wwwroot/your-site/privkey_sm2.pem;
ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;
ssl_ciphers ECC-SM4-CBC-SM3:ECDHE-SM4-CBC-SM3:SM4-CBC-SM3;
ssl_ecdh_curve sm2p256v1;
ssl_prefer_server_ciphers off;ssl_certificatessl_certificate_keyssl_dhparamssl_ciphersECC-SM4-CBC-SM3nginx -tsystemctl reload nginxgmssl s_client -connect your-domain.com:443 -cipher ECC-SM4-CBC-SM3Server public key is 256 bitNew, TLSv1.3, Cipher is ECC-SM4-CBC-SM3ssl handshake failurenginx_gmgmssl s_client