保护多个域名用什么证书？

保护多个域名用什么证书？

要保护多个域名，并不需要为每一个域名单独购买一张 SSL 证书。选择多域名（SAN）证书还是通配符证书，主要取决于域名之间的结构关系：

如果是 example.com、example.net 这类不同的主域名，需要通过多域名证书将它们写入同一个 SAN 列表；

如果是 api.example.com、shop.example.com 这类同一个主域名下的二级子域名，则可以考虑通配符证书。

真正选型时，还需要进一步考虑域名层级、验证类型、证书数量、私钥分发和续期管理等因素。

保护多个域名，应该选多域名还是通配符证书？

如果企业需要保护多个域名，最容易混淆的就是多域名证书和通配符证书。两者虽然都可以减少证书数量，但解决的问题并不完全相同：

• ​多域名（SAN）证书​：把多个明确的域名写入同一张证书的 SAN 扩展中，可以保护不同主域名，也可以同时保护不同子域名。
• ​通配符（Wildcard）证书​：使用 *.example.com 这样的通配符名称，一张证书可以匹配同一主域名下符合规则的一级子域名。
• ​多域名通配符证书​：本质上是 SAN 与 Wildcard 的组合，在一张证书中同时加入多个通配符名称，例如 *.example.com 和 *.example.net。是否支持这种组合，需要看具体 CA 产品的签发规则。

如果对 DV、OV、EV、通配符和多域名证书的关系还不清楚，可以先了解 SSL证书类型怎么分？。

一个简单的判断方法

可以先看自己需要保护的域名属于哪一种情况：

所以，不要先看证书名称，而应该先把企业现有域名整理出来，再决定证书规格。

多域名 SSL 证书是怎么保护多个域名的？

多域名 SSL 证书，也叫 SAN（Subject Alternative Name）证书。它的核心机制很简单：将需要保护的域名写入证书的 SAN 扩展字段。例如企业同时拥有：

• example.com
• example.net
• example.cn
• shop.example.com
• api.example.net

这些域名之间没有必要存在相同的主域名，只要具体证书产品支持相应的域名数量和验证类型，就可以通过一张 SAN 证书进行统一保护。它特别适合：

• 企业同时运营 .com、.cn、.net 等多个域名；
• 不同品牌使用不同主域名；
• 企业存在多个业务系统；
• 一个证书需要覆盖多个完全不同的域名；
• 希望减少证书采购和部署数量。

不过，多域名证书有一个明显特点：证书保护的是“明确列出的域名”，而不是整个域名空间。例如证书 SAN 中只有 www.example.com 与 www.example.net，那么 api.example.com 和 shop.example.net 并不会因为属于相同主域名而自动获得保护。

如果后续新增域名，一般需要对证书进行 Reissue（重新签发），并根据 CA 的要求完成对应域名验证。因此，域名数量较多且经常变化的企业，需要特别注意证书生命周期管理。

通配符 SSL 证书适合什么场景？

通配符 SSL 证书的特点是使用 * 匹配同一主域名下的一级子域名。例如 *.example.com 可以覆盖：

• www.example.com
• api.example.com
• shop.example.com
• mail.example.com
• oa.example.com

这也是通配符证书最大的优势。如果企业业务系统经常增加新的二级域名，就不需要每新增一个子域名都重新申请一张证书。例如原来只有 www.example.com 与 api.example.com，后来又增加 pay.example.com、crm.example.com、erp.example.com，只要这些域名符合 *.example.com 的匹配范围，并且服务器已经正确部署对应证书，就可以直接使用现有通配符证书。

但通配符并不是“所有子域名都能覆盖”

例如 *.example.com 可以匹配 shop.example.com，但不能直接匹配 test.shop.example.com，因为后者已经多了一层域名。如果业务存在多级子域名，需要重新规划，例如使用 *.shop.example.com 或者采用 SAN 方式明确加入需要保护的域名。

example.com 和 *.example.com 是一回事吗？

不是。这是通配符证书最容易出现的误区之一。

证书 *.example.com 匹配的是 www.example.com、api.example.com、shop.example.com，并不意味着它天然覆盖 example.com。

因此，如果企业既需要访问 example.com，又需要访问 www.example.com 与 api.example.com，就应该确认购买的具体产品是否同时包含 example.com 与 *.example.com。有些 CA 产品会在通配符证书中同时提供裸域名，有些产品则需要额外配置，不能仅根据“Wildcard”这个名称判断。

多域名通配符证书是什么？

如果企业同时拥有 example.com 与 example.net，并且两个主域名下面都有大量子域名（例如 *.example.com 和 *.example.net），这时候可以考虑多域名通配符方案。

其本质不是一种完全独立的验证体系，而是把多个 Wildcard 名称放进 SAN 扩展中。例如将 *.example.com 与 *.example.net 放入同一张证书，这样就可以分别覆盖：

• www.example.com
• api.example.com
• shop.example.net
• mail.example.net

这种方案适合多品牌企业、多个主域名并行运营、多个业务平台都有大量二级域名，且希望进一步减少证书数量的场景。不过是否支持多个通配符、支持多少个 SAN、可以使用哪一种验证类型，都需要以具体 CA 产品规则为准。

保护多个域名，按照这张表选择最简单

如果还需要比较不同证书品牌、验证级别和价格，可以进一步参考 SSL证书选购指南。

保护多个域名时要注意什么

1. 以为通配符自动包含裸域名 这是最常见的问题。*.example.com 和 example.com 不是同一个匹配对象。因此购买通配符证书后，应直接查看证书 SAN 列表，确认是否包含裸域名。
2. 以为通配符可以覆盖任意层级 例如 *.example.com 不能直接覆盖 dev.api.example.com。如果企业使用多级子域名，需要根据实际层级重新申请匹配的通配符，或者使用 SAN 证书。
3. 多域名证书不是域名越多越好 SAN 证书确实可以把很多域名放在一起，但不建议为了减少证书数量，把完全不同业务、不同团队、不同安全等级的域名全部集中到一张证书。例如官网、支付系统、内部 OA、测试环境与客户系统全部共用一张证书，会增加证书变更、权限管理和私钥保护的复杂度。更合理的做法是根据业务系统、运维团队、安全等级以及域名生命周期进行适当拆分。
4. 通配符证书的私钥不能随意复制 通配符证书可以覆盖大量子域名，但也意味着它的私钥具有更大的影响范围。如果把同一个 .key 文件复制到 Nginx、负载均衡、API网关、CDN 以及测试服务器，一旦其中某台服务器被入侵并导致私钥泄露，就可能影响该通配符覆盖范围内的多个业务域名。因此，多服务器部署时，应尽量减少私钥复制范围，并做好权限控制。

具体证书部署方式可以参考 SSL证书安装与部署。如果部署后出现证书不受信任、域名不匹配等问题，则可以按照 如何修复SSL证书错误？ 的排查方法处理。

多域名证书和通配符证书怎么选？

如果只看一句话，可以这样判断：不同主域名，优先考虑多域名 SAN；同一主域名下有大量二级域名，优先考虑通配符；多个主域名且每个都有大量子域名，则考虑多域名通配符方案。

进一步考虑企业实际情况：

• ​域名数量少、结构简单​：例如只有 www.example.com，没必要为了“保护多个域名”购买复杂规格，单域名证书就够了。
• ​一个主域名下有很多业务​：例如同时拥有 www、api、shop、oa、mail 等二级域名，通配符证书更适合后续业务扩展。
• ​企业有多个独立主域名​：例如同时运营 example.com、example.cn、example.net，可以考虑 SAN 多域名证书。
• ​多品牌、多主域名、多子域名​：例如需要同时覆盖 *.example.com、*.example.cn、*.example.net，可以进一步评估多域名通配符产品，但需要重点比较 CA 对 SAN 数量、Wildcard、验证级别以及续期规则的具体限制。

购买多域名或通配符证书后，还需要做什么？

购买证书只是第一步。真正上线之前，还需要完成：

1. 域名控制权验证；
2. 生成并保存私钥；
3. 获取服务器证书和中间证书；
4. 在 Nginx、Apache、IIS 或其他 Web 服务中完成部署；
5. 检查证书 SAN 是否覆盖全部业务域名；
6. 检查证书链是否完整；
7. 检查 443 端口及 TLS 配置；
8. 多节点环境下确认各节点证书一致；
9. 建立证书到期监控和续期机制。

如果企业目前还是 HTTP 网站，则还需要进一步完成 HTTPS 改造，可以参考 网站如何从HTTP更改为HTTPS？。

可以用免费 SSL 证书吗？

可以。如果只是测试多域名 SAN、ACME 自动签发或者通配符证书部署，免费证书同样可以用于验证技术方案。

例如需要测试 example.com、api.example.com、shop.example.com，可以申请包含多个 SAN 的证书。如果需要通配符，则需要选择支持 Wildcard 的签发方式，并按照 CA 要求完成 DNS 验证。

不过免费证书的有效期、续期机制和自动化要求与商业证书可能不同。企业核心业务在选择方案时，还需要综合考虑证书验证级别、服务支持和运维成本，具体可以参考 免费SSL证书是什么？怎么申请？。

常见问题 FAQ

Q：多域名 SSL 证书可以保护不同后缀的域名吗？

A：可以。只要具体证书产品支持相应的 SAN 域名数量和验证方式，就可以同时保护 example.com、example.cn、example.net 等不同主域名。

Q：通配符 SSL 证书可以保护所有子域名吗？

A：可以覆盖符合匹配规则的一级子域名，但不能跨层级匹配。例如 *.example.com 可以保护 api.example.com，但不能直接保护 test.api.example.com。

*Q：​.example.com 能保护 example.com 吗？

A：不能仅凭通配符规则认为它可以覆盖裸域名。需要检查证书 SAN 中是否同时包含 example.com。具体是否附带裸域名，以 CA 产品的实际配置为准。

Q：多域名证书新增域名需要重新申请吗？

A：一般需要通过 Reissue 重新签发证书，并按照 CA 要求完成新增域名的控制权验证。重新签发不会改变已经部署的旧证书，旧证书在有效期内仍可继续使用，直到新证书完成部署。

Q：多域名证书和通配符证书哪个更好？

A：没有绝对答案。不同主域名多，优先考虑 SAN；同一主域名下子域名多，优先考虑 Wildcard；两种情况同时存在，则评估多域名通配符方案。

Q：多个网站可以共用一张 SSL 证书吗？

A：可以，但必须看证书的 SAN 或 Wildcard 是否覆盖这些网站的域名。同时还需要考虑私钥共享带来的安全风险。如果不同业务之间需要严格隔离，不建议为了减少证书数量而强行共用一张证书。