什么是通配符 SSL 以及谁需要它？

什么是通配符 SSL？

通配符 SSL 证书是一种设计用来在单个证书下保护主域和所有单级子域的 SSL。它在格式中使用星号 (*)代替子域名 *.domain.com，自动覆盖在该域下创建的每个子域。

例如，为 *.yourdomain.com 购买单个通配符 SSL 会覆盖 shop.yourdomain.com、blog.yourdomain.com、api.yourdomain.com、mail.yourdomain.com — 以及您将来添加的任何新子域 — 而无需额外的证书。

通配符覆盖的内容 — 以及不覆盖的内容

通配符 SSL 的核心思想是星号 * 代表恰好一个子域级别。在购买前，有助于准确了解单个证书覆盖的内容和其边界在哪里，这样在子域上线时就不会遇到"名称不匹配"错误。

*.domain.com 覆盖的内容

• 每个单级子域 — shop.domain.com、blog.domain.com、api.domain.com — 没有数量限制，无需预先声明名称。
• 您后来创建的子域 — 如果您今天有三个，明天添加 promo.domain.com，同一证书会立即覆盖它。
• 在大多数情况下是顶点/根域 — 大多数 CA 在证书的 SAN 中包含 *.domain.com 和 domain.com，所以主域 domain.com（没有 www）也得到保护。

*.domain.com 不覆盖的内容

• 多级（嵌套）子域，如 dev.shop.domain.com 或 a.b.domain.com — *.domain.com 仅匹配一个级别，所以它不保护子域的子域。
• 不同的域名 — *.domain.com 证书无法保护 domain.net 或 otherbrand.com。为此您需要多域 (SAN) SSL。
• 更深的通配符 — 保护 *.shop.domain.com 需要第二个专用通配符证书，或明确命名内部子域的证书。

通配符 SSL 与单域 SSL

单域 SSL（标准 DV SSL）仅为一个特定域颁发 — 例如 www.yourdomain.com 或 shop.yourdomain.com。要保护其他子域，您必须为每个子域购买单独的证书。

功能	单域 SSL	通配符 SSL
覆盖的域	1 个域	主域 + 无限子域
格式	www.domain.com	*.domain.com
添加新子域	必须购买更多证书	自动覆盖
价格	起价 1,000 泰铢/年	更高，但比购买单独证书便宜
最适合	单子域网站	具有多个子域的网站

通配符与单域与 SAN/多域

除了单域和通配符之外，还有第三种称为 SAN（使用者备用名称）或多域 SSL 的类型，它将多个不同的域名打包到一个证书中。区别：通配符覆盖一个域的无限子域，而 SAN 证书按名称保护您指定的每个域或子域。此表使您可以轻松选择正确的类型：

通配符 SSL 的实际用例

拥有多个子域的企业和项目发现，与购买单个证书相比，通配符 SSL 既可以节省成本，也可以减少管理开销。以下是常见的现实场景：

电子商务商店

• shop.yourdomain.com — 店面
• cart.yourdomain.com — 购物车
• api.yourdomain.com — 移动应用 API
• admin.yourdomain.com — 后台仪表板

企业网站

• www.yourdomain.com — 主网站
• blog.yourdomain.com — 公司博客
• mail.yourdomain.com — 网络邮件
• support.yourdomain.com — 帮助台/工单系统
• crm.yourdomain.com — 内部 CRM

SaaS 或多租户平台

• client1.yourdomain.com — 客户 A 工作区
• client2.yourdomain.com — 客户 B 工作区
• app.yourdomain.com — 主应用
• staging.yourdomain.com — 演示环境

谁应该使用通配符 SSL？

通配符 SSL 是具有以下特点的企业或项目最经济的选择：

• 您目前拥有或计划拥有三个或更多子域
• 您经常创建新子域，不想每次都购买新的 SSL 证书
• 您在同一域下管理多个环境（生产、演示、开发）
• 您运行多租户平台，其中每个客户都拥有自己的子域
• 您想通过将多个证书合并为一个来减少 SSL 总支出
• 您更喜欢管理单个证书，而不是跟踪多个证书的续期日期

通配符 SSL 不合适的情况

在某些情况下，通配符 SSL 可能不是最具成本效益的解决方案：

• 您只有一个子域或根本没有 — 单域 SSL 会更便宜
• 您需要 EV（扩展验证）SSL — EV 通配符证书价格溢价；许多组织更喜欢仅为主域购买 EV
• 您需要保护深度嵌套的子域（如 a.b.domain.com），这需要多级通配符

哪些证书颁发机构颁发通配符 SSL？

多个受信任的证书颁发机构 (CA) 可以颁发通配符 SSL。AsiaGB 提供来自全球领先品牌的通配符 SSL：

• GeoTrust — 世界上最受信任的 CA 之一，与所有主要浏览器兼容
• DigiCert — 企业 SSL 市场领导者，以高保证安全性著称
• RapidSSL — 快速颁发和卓越价值，非常适合中小型企业

所有三个 CA 都提供具有完全浏览器兼容性的通配符 SSL，包括 Chrome、Firefox、Safari、Edge 和 iOS 及 Android 上的所有主要移动浏览器。

安装通配符 SSL 之前需要了解的内容

安装通配符 SSL 与安装标准证书不太相同，但有一些要点值得事先了解，以确保每个子域都能顺利工作，浏览器不会将其标记为不安全：

• 使用 *.domain.com 生成 CSR — 创建证书签名请求时，将公用名称设置为 *.domain.com（不是 www.domain.com），否则证书将不覆盖您的子域。
• 一套证书对每个子域都有效 — 获得证书文件 (.crt)、私钥 (.key) 和 CA 捆绑/中间证书后，在指向您的服务器的所有子域中使用同一套。
• 安装完整的链 — 不要忘记中间证书 (CA 捆绑)，否则某些浏览器，尤其是移动设备上的浏览器，可能会报告证书不完整。
• 每个子域需要正确的 DNS — 通配符仅保护其 DNS (A/CNAME 记录) 指向安装证书的服务器的子域。
• 多台服务器可以共享一个证书 — 如果子域位于不同的计算机上（例如，邮件在单独的服务器上），您可以将相同的证书和私钥复制到每台 — 这是允许的。
• 安装后验证 — 打开多个子域并检查浏览器挂锁，或使用 SSL 检查器工具确认每个子域上的证书名称和完整链。

如何开始使用通配符 SSL

1. 从 AsiaGB 购买通配符 SSL 并以 *.yourdomain.com 的格式指定您的域
2. 验证域所有权：通过电子邮件、DNS 记录或 HTTP 文件验证
3. 获取您的证书 — DV 通配符通常在 1 小时内颁发
4. 安装在您的服务器上 — 一个证书文件覆盖所有子域
5. 随时添加新子域 — 无需请求新证书，它们会自动受到保护

关于通配符 SSL 的常见问题

通配符 SSL 覆盖多少个子域？

同一级别的子域数没有限制。单个 *.domain.com 证书可保护 shop.domain.com、blog.domain.com、api.domain.com 和任何其他子域 — 包括您将来创建的子域 — 无需颁发新证书。

通配符是否覆盖嵌套子域（如 dev.shop.domain.com）？

否。* 仅匹配单个最左侧级别，所以 *.domain.com 保护 shop.domain.com 但不保护 dev.shop.domain.com。要保护内部级别，您需要单独的通配符（如 *.shop.domain.com）或明确命名这些子域的证书。

AsiaGB 的通配符 SSL 费用是多少？

AsiaGB 的通配符 SSL 起价为 5,000 泰铢/年（RapidSSL 通配符，一年价格）。GeoTrust QuickSSL Premium 通配符和 OV 级 GeoTrust True BusinessID 通配符也适用于需要更高级验证的组织。

通配符 SSL 对 www 和非 www 都有效吗？

在大多数情况下，是的。CA 通常在同一证书中包含 *.domain.com 和 domain.com，因此 www.domain.com（子域）和主域 domain.com 都可以通过 HTTPS 安全加载。