面板自带 DNS-01 有缺陷：把 ACME 授权标识符直接当 DNS 托管主域传给服务商，阿里云报 InvalidDomainName.NoExist，根因是缺少待签域名到托管主域的解析。规避可用 acme.sh 的 dns_ali 做 DNS-01 签发，覆盖 tunnel.sushike.cloud 与 *.t.sushike.cloud，cron 自动续期并触发 nginx 重载，且不要再导入面板以免双重续期。常规申请可在面板选 HTTP-01，需 80 端口公网可达；证书落 ./certs/<域名>/，nginx 已挂载。申请后需 docker compose restart nginx；自动续期后 nginx 不会自动重载，默认仍需手动 restart。

边缘配置自动同步让新增隧道域名不再需要手工维护 nginx：泛域内域名共用通配 server 块，新增隧道无需改配置；泛域外自动生成专属 server 块并使用自身证书，使配置规模与隧道数量解耦。服务端只写文件，由容器看门狗或 systemd path unit 校验并 reload，兼容纯 Docker 与宝塔 nginx，宝塔只接管 443 并保留 80 跳转和统计。校验失败会放弃 reload 并把坏配置移出 include 目录，防止后续 nginx 启动失败，故 conf.d 必须可写。证书路径须填 nginx 侧路径，HTTP/2 语法由 EDGE_HTTP2 适配；证书需 DNS-01 申请通配符并自动续期，私钥权限 600 且不入库。