哪些SSL证书支持无限子域名？
支持无限子域名的SSL证书统称为通配符SSL证书（Wildcard SSL Certificate），其核心能力是通过单张证书保护一个主域名及其所有一级子域名（如 *.example.com），无需为每个子域名单独申请、部署和续期。该机制已被主流CA（如GlobalSign、Sectigo、锐安信、沃通）全面支持，且符合CA/Browser Forum Baseline Requirements规范。
该讨论范围限定于生产环境中真实可用、浏览器广泛信任的通配符证书类型，不包含测试证书或私有PKI方案。
核心技术机制
通配符证书的匹配规则与限制
通配符证书使用RFC 6125定义的“*”通配符符号匹配一级子域名，例如 *.topssl.cn 可覆盖 www.topssl.cn、mail.topssl.cn、api.topssl.cn，但**无法覆盖二级子域名**（如 dev.www.topssl.cn）或主域名本身（topssl.cn）。实际部署中，多数CA（包括通配符SSL证书）默认要求将主域名作为额外SAN条目显式添加，以确保完整覆盖。
证书链结构与浏览器信任路径
通配符证书必须嵌入完整、无断裂的证书链，否则Chrome、Firefox等现代浏览器会触发 NET::ERR_CERT_AUTHORITY_INVALID 错误。GlobalSign、Sectigo等CA采用双根策略（如GlobalSign R3 + R1交叉签名），保障在旧系统（Windows Server 2008 R2）与新设备（Android 14 / iOS 17）上均能完成信任链验证。工程实践中，约12%的Nginx反向代理配置因漏传中间证书导致“小锁消失”，需用SSL证书链下载工具校验并补全。
工程实践与部署经验
主流CA通配符证书对比
| 指标 | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 颁发时效 | DV类：5–10分钟；OV类：1–3工作日 | 若需快速上线，优先选GlobalSign DV通配符SSL证书；企业身份展示需求强则选OV类 |
| 子域名数量 | 理论无限，但CA通常限制单证书SAN条目≤100个 | 超量时建议拆分为多张通配符证书（如 *.shop.example.com + *.api.example.com），避免单点失效风险 |
| 服务器授权 | 绝大多数支持无限服务器部署（含CDN、负载均衡器） | 锐安信、沃通等国产CA明确支持阿里云WAF、腾讯云CDN等国内平台一键部署，兼容性优于部分国际品牌 |
真实运维经验：通配符证书的典型陷阱
某电商平台曾因误购 *.shop.example.com 证书，却将 checkout.shop.example.com 部署其上，导致支付页HTTPS中断。根本原因是通配符仅匹配一级子域——该场景应改用多域名证书（SAN）或二级通配符（需CA特别支持，目前仅Let’s Encrypt实验性提供）。此外，Let’s Encrypt通配符证书强制要求DNS验证，不支持HTTP文件验证，对DNS托管在内网的用户构成部署障碍。
常见问题
Q：通配符SSL证书可以保护多少个子域名？
A：技术上无限，但受CA策略约束（如Sectigo限制单证书最多100个SAN条目）；工程上建议单证书管理≤50个活跃子域名，便于故障隔离与审计。
Q：通配符证书是否支持二级子域名（如 *.dev.example.com）？
A：不支持。*.dev.example.com 仅匹配 dev.example.com 的子域名（如 api.dev.example.com），而非 dev.example.com 本身。需单独签发或使用多域名证书。
Q：免费SSL证书提供通配符支持吗？
A：是。Let’s Encrypt DV通配符SSL证书（90天） 和 免费ssl申请 平台均支持，但需配合ACME协议与DNS API自动化续期，手工部署易过期。
京公网安备11010502031690号
网站经营企业工商营业执照
