通配符证书和多域名证书怎么选？

先看域名是否属于同一主域——同主域、子域多且会持续增加，选通配符证书；跨多个互不相关的主域，选多域名（SAN）证书；两者兼有，可用组合证书一张搞定。

通配符证书和多域名证书，本质区别是什么？

一句话概括：通配符证书是”规则式覆盖”，按主域规则自动匹配所有一级子域；多域名证书是”清单式覆盖”，把要保护的域名逐个列进证书。

通配符证书以 *.主域 格式绑定，一张证书即可保护一个主域名及其全部一级子域。例如 *.example.com 可覆盖 www、api、blog 等子域，但它无法跨主域，也不覆盖 a.b.example.com 这类三级子域。多域名证书也叫 SAN 证书，通过在证书的 SAN（Subject Alternative Name）字段中嵌入多个域名，把彼此无关的域名放进同一张证书，可跨主域、跨后缀，数量通常在 20 至 250 个之间（因签发机构而异）。

覆盖逻辑：通配符”自动匹配同级子域”，多域名”逐个明确列出”。

扩展成本：通配符新增一级子域零成本、零操作；多域名每加一个域名都要重新验证并签发。

风险半径：通配符私钥一旦泄露，该主域下所有子域都可被冒充；多域名的影响面仅限已列出的域名。

数据来源：CA/Browser Forum《Baseline Requirements》，EV 证书不允许使用通配符；SAN 名额上限以各签发机构产品文档为准。

通配符证书和多域名证书怎么选？先看这张对比表

结论先行：只需回答三个问题——是否跨主域？子域是否会持续增加？是否需要风险隔离？

三步判断：有多个互不相关的主域 → 多域名证书；单一主域且子域会持续增长 → 通配符证书；两者兼有 → 用组合证书。

还需注意：证书有效期正在持续缩短——自 2026 年 3 月 15 日起，新签发证书最长有效期不超过 200 天，2027 年起将进一步缩短至 100 天。无论选哪种证书，重新签发与到期续期的频率都会上升。沃通以 CertBot（自动化执行）、沃通CAC（自动化管理）、沃通CaaS（自动化服务）组合方案，把证书申请、验证、续期与部署纳入自动化流程，降低多证书架构下的运维负担。

选型最容易踩的坑有哪些？

误区一：以为 *.example.com 能保护 example.com 本身 → 正确做法：通配符只匹配子域，主域本身需单独列入 SAN，申请时要确认证书同时包含 example.com 与 *.example.com。

误区二：以为通配符能覆盖任意层级的子域 → 正确做法：通配符只匹配一级，*.example.com 覆盖不到 api.v2.example.com，需另配 *.v2.example.com 或作为多域名条目添加。

误区三：多域名的名额估少了 → 正确做法：多域名证书按名额计费，漏算 www、mail、api 等常见子域后，扩容需重新签发，选型前先把域名清单列全。

误区四：全站共用一张通配符证书 → 正确做法：对外服务与内部管理后台建议按安全域拆分证书，避免私钥泄露波及全部子域。

常见问题（FAQ）

Q1：通配符证书和多域名证书可以混用吗？

A：可以。部分签发机构支持在同一张证书内同时添加普通域名与通配符域名，例如 example.com 与 *.test.com 共处一证，每个通配符各占一个名额。

Q2：我只有三个子域，需要买通配符证书吗？

A：不一定。子域清单明确且不常变时，用多域名证书逐个列出更精准，风险半径更小；若子域会持续增加，通配符”一次配置、新增零操作”的优势会很快体现。

Q3：两种证书的加密强度有区别吗？

A：没有。两者都基于同一套 TLS 标准，加密强度一致，差异只在”如何标识所保护的域名”，即覆盖范围、管理成本与风险隔离能力。

同一主域看通配符，跨主域看多域名——先列全域名清单，再决定买哪张证书。