如果您的网站运行多个子域名——shop.example.com、mail.example.com、blog.example.com——为每个子域名单独购买SSL证书既昂贵又繁琐。通配符SSL证书（Wildcard SSL）让您只需一张证书，就能保护域名下所有子域名的安全。
通配符SSL证书是什么？
通配符SSL证书是颁发给 *.example.com 的SSL/TLS证书，其中星号（*）作为通配符，可以匹配该级别下任意子域名。
例如，*.asiagb.com 的通配符SSL可以覆盖：
www.asiagb.comshop.asiagb.commail.asiagb.comblog.asiagb.comapi.asiagb.com- 同一级别下的所有其他子域名
通配符SSL仅覆盖一级子域名。例如，*.example.com 覆盖 a.example.com，但不覆盖 a.b.example.com（两级深度）。
通配符SSL的工作原理
通配符证书使用标准X.509格式——唯一的区别是通用名称（CN）和主题备用名称（SAN）字段包含 *.example.com，而不是具体的主机名。
当浏览器连接到 shop.example.com 时，服务器会提供CN为 *.example.com 的证书。浏览器验证 shop 与通配符模式 * 匹配，并接受该连接为安全连接。
RFC 2818标准说明
根据RFC 2818标准，通配符中的 * 字符可以匹配除 .（点）以外的任何字符，这就是为什么它只能覆盖一级子域名。
通配符SSL vs 单域名SSL — 对比
| 功能 | 单域名SSL | 通配符SSL | 多域名(SAN)SSL |
|---|---|---|---|
| 覆盖范围 | 1个域名 | 所有一级子域名 | 明确列出的多个域名 |
| AsiaGB起步价 | 1,000泰铢/年 | 5,000泰铢/年 | 按SAN数量计算 |
| 添加新子域名 | 需购买新证书 | 无需任何操作 | 需重新签发证书 |
| 管理复杂度 | 低（但证书多） | 非常低 | 中等 |
| 最适合 | 单一网站 | 同一域名下的多个子域名 | 多个不同域名 |
通配符SSL证书类型
通配符证书按验证级别分为两种主要类型：
1. 通配符DV（域名验证）
仅验证域名所有权，数分钟内即可签发。适合博客、普通网站和中小型电商。
- RapidSSL Wildcard — 5,000泰铢/年 · 快速签发 · 保险额$10,000
- GeoTrust QuickSSL Premium Wildcard — 7,000泰铢/年 · 全球知名CA · 保险额$100,000
2. 通配符OV（组织验证）
同时验证域名和组织信息，需1-3个工作日。可信度更高，证书中显示组织名称。
- GeoTrust True BusinessID Wildcard — 15,000泰铢/年 · 保险额$1,250,000
注意：市场上没有通配符EV（扩展验证）证书。根据CA/Browser Forum标准，EV证书必须明确列出域名，不能使用通配符 *。
AsiaGB通配符SSL价格
| 证书 | 类型 | 价格（1年） | 保险金额 |
|---|---|---|---|
| RapidSSL Wildcard | DV通配符 | 5,000泰铢 | $10,000 |
| GeoTrust QuickSSL Premium Wildcard | DV通配符 | 7,000泰铢 | $100,000 |
| GeoTrust True BusinessID Wildcard | OV通配符 | 15,000泰铢 | $1,250,000 |
对于拥有多个子域名的普通网站和电商来说，RapidSSL Wildcard（5,000泰铢/年）性价比最高。若需要更高的客户信任度，可考虑GeoTrust系列。
在DirectAdmin上安装通配符SSL
购买通配符SSL并收到CA颁发的证书后，按照以下步骤操作：
第1步：生成CSR
登录DirectAdmin → SSL证书 → 选择创建证书请求
- 在通用名称（Common Name）字段填写：
*.example.com（需包含星号） - 填写所有组织信息
- 点击保存——系统将生成私钥和CSR
第2步：将CSR提交给CA
复制生成的CSR，通过billing.in.th提交给CA进行验证。CA审核通过后，会将证书文件（.crt或.pem）发送给您。
第3步：安装证书
返回DirectAdmin → SSL证书 → 选择粘贴预生成的证书和密钥
- 将私钥粘贴到密钥字段
- 将证书粘贴到证书字段
- 如果CA提供了中间CA证书，将其粘贴到CA证书字段
- 点击保存
第4步：验证
打开浏览器访问任意子域名，如 https://shop.example.com，应看到锁形图标和正确的域名。
# 通过命令行验证SSL
openssl s_client -connect shop.example.com:443 -servername shop.example.com 2>/dev/null | openssl x509 -noout -subject -dates通配符SSL与Let's Encrypt — 关键区别
Let's Encrypt通过ACME协议免费颁发通配符证书，但有一些重要的权衡需要了解：
| 方面 | Let's Encrypt通配符 | 商业通配符（AsiaGB） |
|---|---|---|
| 费用 | 免费 | 5,000–15,000泰铢/年 |
| 有效期 | 90天 | 1年 |
| 续期方式 | 需手动或自动脚本 | 邮件提醒，协助续期 |
| DNS-01验证 | 通配符必须使用 | 无需 |
| 保险金额 | 无 | $10,000–$1,250,000 |
| 技术支持 | 仅社区支持 | AsiaGB专业团队支持 |
Let's Encrypt适合熟悉自动化配置的开发者；商业通配符证书更适合需要保险保障和专业支持的企业网站。
购前核查清单
- ✅ 有超过2个子域名（如果只有1个，单域名SSL更划算）
- ✅ 所有子域名都在同一根域名下
- ✅ 没有超过一级深度的子域名（如
a.b.example.com） - ✅ 拥有域名的DNS管理权限
- ✅ 虚拟主机支持安装自定义SSL（DirectAdmin所有方案均支持）
- ✅ 有证书到期前的续期计划
常见问题解答（FAQ）
*.example.com）覆盖同一级别下的所有子域名，如 mail.example.com、shop.example.com 等，但不覆盖二级子域名如 sub.sub.example.com。example.com），而通配符SSL可以保护根域名下第一级的所有子域名（*.example.com），一张证书即可覆盖 mail、shop、blog、api 等所有子域名。www.example.com 是 example.com 的子域名，因此 *.example.com 自动覆盖 www。大多数CA颁发的证书同时包含 example.com（根域名）和 *.example.com。总结——谁需要通配符SSL？
通配符SSL是运行同一域名下多个子域名网站的理想选择：拥有 shop、api、cdn 的电商平台；拥有 mail、hr、support 的企业门户；或按客户分配子域名的SaaS平台。
成本对比：单独购买3个SSL证书需3,000泰铢，而RapidSSL Wildcard仅需5,000泰铢。如果有6个子域名，通配符明显更划算——而且新增子域名时无需任何额外操作。
AsiaGB提供多款通配符SSL证书供您根据预算选择，并由专业团队全天候协助在DirectAdmin上完成安装。服务可用性保证99%。