设置方法域名常见问题 ssl证书常见知识 ssl配置

SSL问题选：购买SSL证书时带WWW和不带WWW算几个域名？

更新时间：2024-11-04 来源：TopSSL 作者：TopSSL

有用户问：带WWW和不带算一个域名还是两个域名？

购买SSL证书时，带WWW和不带WWW的域名是否算作一个域名还是两个域名，这取决于您选择的SSL证书类型。带WWW和不带WWW的域名在单域名SSL证书中通常被视为一个域名，而在多域名SSL证书和通配符SSL证书中则被视为两个不同的域名。

购买SSL证书时带WWW和不带WWW算几个域名？.png

购买SSL证书时带WWW和不带WWW算几个域名？

在购买与申请 SSL 证书时，带 www 的域名（如 www.topssl.cn）与不带 www 的主域名（如 topssl.cn）到底算作一个域名还是两个域名，主要取决于所选购的证书类型以及 CA 机构的默认绑定规则。

搞清楚这个底层规则，可以避免申请 SSL 证书时多花钱买错额度，或者部署上线后才发现漏保护了某个域名。如果需要了解 DV、OV、EV 等不同验证级别的区别，可以参考 SSL证书类型怎么分?。

不同 SSL 证书的域名配额与 SAN 规则

在 HTTPS 协议层面，带 www 的域名（如 www.topssl.cn）与不带 www 的裸域名（如 topssl.cn）被视为两个不同的终端节点。但在实际购买证书时，证书签发机构（CA）的处理方式有所不同：

[裸域名/主域名: topssl.cn]  与  [子域名: www.topssl.cn]
       │
       ├─► 单域名证书 ──► 多数 CA 在签发裸域名时，会把 www 加入 SAN 扩展（就是付费的证书一般会赠送一个）
       ├─► 多域名证书 ──► 占用 2 个 SAN 配额（需分别填入）
       └─► 通配符证书 ──► 规则为 *.topssl.cn，多数 CA 会把主域名加入 SAN 扩展

1. 单域名 SSL 证书：多数情况下一张证书保护两者

目前多数公开可信的 CA（如 DigiCert、Sectigo、GlobalSign 等）在签发裸域名（如 topssl.cn）的单域名 DV/OV 证书时，通常会同时将对应的 www 子域名（www.topssl.cn）加入到证书的 SAN（主题备用名称）扩展中。

因此，一张单域名证书一般可以同时保护这两个访问地址。但这并非绝对规则，具体取决于不同 CA 的产品策略。申请前应以证书订单确认页中的 SAN 列表为准。

建议：申请单域名证书时，一般建议将 CSR 请求生成绑定在裸域名（如 topssl.cn）上，这样更容易触发 CA 自动附加 www 域名的机制。

2. 多域名 SSL 证书（SAN / UCC）：按照实际 FQDN 数量占用额度

多域名证书是按照申请时填写的 SAN 域名数量来计费或扣减额度的。在多域名证书的逻辑里，topssl.cn 和 www.topssl.cn 就是两个不同的 FQDN。

如果需要在多域名证书中同时保护这两者，就必须在申请列表中把它们分别填入，这会实打实地占用 2 个域名额度。

3. 通配符 SSL 证书（Wildcard）：利用 SAN 机制同时覆盖

通配符证书（如 *.topssl.cn）的数学匹配规则是保护主域名下的所有一级子域名（如 www、api、mail）。

**需要注意，单独的 *.topssl.cn 规则本身并不能覆盖裸域名 topssl.cn**。但目前多数 CA 产品会在签发通配符证书时，将主域名同时加入到 SAN 扩展列表中。正是因为这种附加机制，实际部署后通常可以实现通配符证书同时保护主域名和所有一级子域名。

部署与排错建议

提前确认证书覆盖的域名范围，可以减少证书部署时的返工。无论购买哪种证书，从 Web 站点运维的最佳实践来看，一般建议在服务器端（如 Nginx/Apache）将 topssl.cn 与 www.topssl.cn 中的某一个设为主入口，并将另一个通过 301 强制跳转（可参考网站如何从HTTP更改为HTTPS?），避免产生双重入口导致搜索引擎权重分散。
说白了，简单一句话，不清楚的，可以咨询一下TopSSL客服。