Wildcard

通配符SSL证书（Wildcard）是什么？

通配符SSL证书是一种可保护主域名及其所有一级子域名的单张证书，例如 *.example.com 可同时覆盖 mail.example.com、shop.example.com 和 api.example.com。它不是万能方案——无法保护二级子域名（如 dev.mail.example.com）或不同根域名（如 example.net），且主流浏览器和CA/B论坛明确要求其必须使用SHA-2签名与密钥长度≥2048位（RSA）或≥256位（ECDSA）。

该段结束后换行

技术背景与适用边界

通配符证书的DNS匹配机制

通配符仅在证书主题备用名称（SAN）中以单个星号（*）开头并紧接英文句点，如 DNS:*.topssl.cn。浏览器验证时执行精确左匹配，不支持通配符嵌套或多个通配符。若需覆盖 www.example.com 与 example.com，必须在SAN中显式列出两者——通配符本身不包含主域名。

CA/B Forum Baseline Requirements 严格约束

根据BR 1.8.1条款，CA签发通配符证书前必须完成DNS CNAME或TXT记录验证（而非仅HTTP文件验证），且有效期不得超过39个月（自2025年9月起强制为39个月）。多数商业CA（如 Sectigo、Digicert）已停售2年期通配符产品。

核心技术机制

证书链结构与信任传递

通配符证书本身不含私钥，其公钥由中间CA签名，形成完整证书链：通配符证书 → 中间CA证书 → 根CA证书。浏览器仅信任预置在操作系统或浏览器中的根CA，因此部署时必须确保中间证书完整上传，否则将触发 NET::ERR_CERT_AUTHORITY_INVALID 错误。可使用 SSL证书链下载 工具自动补全缺失环节。

TLS握手阶段的域名校验逻辑

在TLS 1.2/1.3 握手期间，客户端解析服务器返回的证书，提取Subject Alternative Name字段，逐条比对请求Host头。若存在匹配的通配符条目（如 *.api.example.com 匹配 v1.api.example.com），则继续验证签名有效性与有效期；否则直接终止连接。此过程完全由客户端执行，服务端无干预能力。

工程实践与部署经验

我们曾在一个电商客户项目中发现：其CDN节点未同步更新通配符证书中间链，导致约3.7%的iOS 12用户访问子域名时出现白屏。根本原因是苹果ATS策略对证书链完整性要求极高——该问题通过 安装教程 中的链补全步骤修复。

常见问题

Q：通配符SSL证书能保护 www 和非www主域名吗？
A：不能。*.example.com 不包含 example.com 或 www.example.com，必须在证书SAN中单独添加这两项，或选用支持主域名自动包含的 通配符证书 产品。

Q：申请通配符SSL证书需要什么验证方式？
A：必须完成DNS验证（添加指定TXT或CNAME记录），不接受邮箱或HTTP文件验证。可使用 DNS解析记录查询 工具确认记录已全球生效。

Q：通配符证书支持国密SM2算法吗？
A：支持。国产 国密SSL证书 提供SM2+SM3+SM4组合的通配符型号，但仅适配国密浏览器插件及特定政务云环境，公网通用性受限。