通配符证书和多域名证书分别能保护几个域名，覆盖范围怎么算
2026-11-11
摘要： 通配符证书覆盖同一主域名下全部同级子域名，数量不限但不跨层级；多域名证书按证书内列明的条目计算，常见 3 至 10 个额度，需逐条列出，无法自动扩展。
一、通配符证书能保护几个域名
一张通配符证书的域名数量没有固定上限，覆盖范围被限定在同一主域名的同一层级内。
*.example.com 中的星号只替代一个层级的标签，www、api、shop 这类同级子域名均可覆盖，新增同级子域名也无需重新签发。跨出该层级即失效，a.b.example.com 需另签 *.b.example.com；主域名 example.com 通常不在匹配范围内，是否附带以产品签发规则为准。
覆盖层级：仅一级，不跨层级。
覆盖数量：同级子域名不限个数，受单张证书条目上限约束。
典型场景：SaaS 多租户、统一主域名下的多套系统。
子域名命名规律统一、数量持续增长的场景，通常会优先考虑通配符形态，因为证书条目不必随子域名扩张而反复调整。
规则依据：RFC 6125；CA/Browser Forum《Baseline Requirements》通配符条款。
二、多域名证书能保护几个域名
多域名证书的数量由产品规格决定，按证书内列明的条目逐条计算，与子域名个数无关。
常见档位为 3 个、5 个、10 个条目，超出默认额度需按条扩展，条目总数受签发机构策略上限约束。a.com、b.net、mail.c.org 这类彼此无关的域名可并列于同一张证书，无需共享主域名。条目签发即固定，新增域名必须重新签发；条目类型允许混合，*.a.com 与 b.net 可共存，按条目计入容量。
| 对比维度 | 通配符证书 | 多域名证书 |
|---|---|---|
| 绑定形式 | *.example.com | a.com、b.net 逐条列明 |
| 覆盖数量 | 同级子域名不限 | 按条目计，3、5、10 档 |
| 新增域名 | 同级自动覆盖 | 必须重新签发 |
| 层级限制 | 仅一级 | 与层级无关 |
三、覆盖范围怎么算
正确算法是逐条展开：普通条目按 1 个计，通配符条目按该主域名下全部同级子域名计，两者相加即真实覆盖面。
认为通配符覆盖无限层级 → 仅一级，二级子域名需独立条目。
认为通配符默认含主域名 → 将 example.com 单列核对。
用子域名个数倒推容量 → 条目数才是容量依据。
只统计对外域名 → 以证书实际部署的 Server Name 全集为口径。
| 证书方案 | 绑定条目 | 覆盖范围 |
|---|---|---|
| 单通配符 | *.example.com | 全部同级子域名 |
| 通配符加主域名 | *.example.com、example.com | 主域名及全部同级子域名 |
| 多域名 5 条目 | a.com、b.net、c.cn、*.d.com | 5 个条目内全部名称 |
| 组合方案 | *.a.com、*.b.com | 两主域名下全部同级子域名 |
四、数量算清之后，负担在续期一侧
覆盖范围决定采购形态，条目数量决定运维成本。两类证书在采购合同上的差别很小，落到运维台账里却会被逐条放大。按 CA/Browser Forum 时间表，SSL 证书最长有效期已压缩至 200 天以内，2027 年起降至 100 天，此后进一步缩短至 47 天。有效期越短，多域名与通配符证书的续期频次越高，条目核对、私钥校验与部署回滚会被反复执行，仅靠人工值守难以保证每次准确。
针对证书有效期持续缩短带来的高频续期，沃通CA 将证书自动化纳入交付体系：沃通 CertBot 承担SSL证书自动化申请、验证、续期与部署执行，沃通 CAC 提供SSL证书资产统一台账、到期看板与告警，沃通 CaaS 以接口方式对接业务系统，提供SSL证书自动化多任务治理、多系统连接能力，三者按证书规模组合为轻量化部署模式或增强版部署模式，适配多种SSL证书自动化应用场景。
常见问题
Q1：一张通配符证书最多保护多少个子域名？
A：无固定上限，同级子域名均可覆盖，受单张证书条目上限与签发机构策略约束。
Q2：多域名证书能同时包含通配符域名吗？
A：可以，条目类型允许混合，按条目数计入容量。
Q3：*.example.com 能保护 example.com 吗？
A：不能，通配符只匹配一级子域名，主域名需单列为条目。
