单域名、多域名与通配符 SSL：域名规划先于采购

SSL 证书采购中容易返工的环节，不是审核，而是域名没盘清。企业往往先买一张证，部署时才发现还要覆盖 www、多个子域、旧域名跳转和测试环境；或者买了通配符，却不知道它只覆盖同一层级。域名规划做在前面，能减少重复购买和部署冲突。

本文说明单域名、多域名和通配符证书的覆盖规则，不构成具体产品承诺。不同 CA 的证书配置和数量限制可能有差异，购买前以产品说明为准。更多 SSL 内容可查看本站SSL 证书栏目。

一、单域名证书覆盖什么

单域名证书通常只保护一个完整域名，例如 example.com。是否同时覆盖 www.example.com，取决于证书配置和 CA 规则。有些产品把带 www 和不带 www 视为两个域名，需要分别列入或使用多域名证书。购买前确认主域名和常用访问方式。

如果站点同时通过 HTTP 和 HTTPS、裸域和 www 访问，还要配置跳转，把用户统一到一个规范地址。证书只解决加密和身份验证，不自动处理域名归一。

二、多域名证书（SAN）

多域名证书通过 Subject Alternative Name 扩展覆盖多个域名。一个证书可以包含主域名、子域名、关联品牌域名，甚至不同主域下的域名。适合拥有多个站点、需要统一管理证书的企业。

多域名证书的容量有上限，超出后需要追加或拆分成多张证书。把所有域名塞进一张证书，虽然管理集中，但一旦私钥泄露或部署出错，影响范围也更大。建议按业务线或环境分组，不要把生产、测试、合作方域名混在一起。

三、通配符证书的边界

通配符证书通常写作 *.example.com，覆盖 example.com 下一层的子域名，例如 shop.example.com、mail.example.com。它不覆盖 example.com 本身，也不覆盖多层子域，例如 a.b.example.com。不同 CA 对通配符的规则可能不同，购买前确认。

通配符适合子域较多、命名规则统一的场景，例如客户子域、区域站点。它不适合所有子域分散在不同团队、私钥需要隔离的场景。一个通配符私钥可以签发多个子域证书，权限集中，泄露后的影响也大。

四、三种方式对比

选择时先列域名清单，标注主域、子域、旧域名、测试域名、合作方域名和未来新增计划。再判断哪些必须同证书、哪些可以分开。不要凭记忆采购，域名往往比想象的多。

五、常见误区

• 以为通配符覆盖主域名，部署后发现裸域不匹配。
• 以为通配符覆盖多层子域，实际只覆盖一层。
• 把测试域名加入生产证书，扩大私钥使用范围。
• 多域名证书塞得太满，续期时难以拆分。
• 忽略国际化域名或特殊字符域名的编码规则。

这些误区会导致证书显示不匹配、浏览器提示异常，或者续期时需要重新规划。采购前让运维、开发和业务一起确认域名用途，比事后补证书更省成本。

六、部署与续期规划

多域名和通配符证书通常部署在多个服务器、CDN 或负载均衡上。建立部署清单，记录每个域名对应的证书、私钥位置、到期时间和负责人。续期时按清单逐项替换，避免只更新主站而漏掉子站。

通配符私钥应限制访问，部署到不同环境时评估是否需要独立证书。对高价值子域，可以考虑单独证书，降低私钥集中带来的风险。自动化续期工具要支持 SAN 列表和通配符，否则可能出现续期后域名缺失。

七、企业域名台账怎么做

台账至少包含：域名、用途、解析服务商、证书类型、覆盖范围、签发时间、到期时间、部署位置、负责人和续期方式。每季度核对一次，新增域名及时登记，停用域名及时清理证书。

对品牌升级、业务拆分或收购场景，提前规划域名迁移和证书切换。旧域名保留跳转时，证书也要覆盖到跳转期结束，避免用户访问旧地址时出现警告。

八、容量与命名规则

域名规划还要考虑未来增长。新业务上线、地区站点扩展、测试环境增加，都可能带来新域名。预留多域名证书的剩余槽位，或提前规划通配符的命名规则，可以减少临时追加。对命名不统一的子域，先整理命名规范，再决定是否使用通配符。

证书命名和文件存放也要有规则。证书文件、私钥、中间链和部署脚本按域名或业务线分目录，文件名包含到期年份。不要把生产私钥和测试私钥混在同一目录，也不要用“新建文件夹”这类无法追溯的命名。

对旧域名和跳转域名，设定保留期限。迁移完成后，证书覆盖到跳转期结束，再清理台账。对合作方域名，明确谁负责申请、谁负责续期，避免双方都以为对方在管。

九、结语

SSLDUN 自 2017 年起通过合同方式获得 Certum 相关产品授权，可协助企业了解 SSL 证书的域名覆盖规则、准备申请材料和安排续期。证书签发与覆盖范围由 CA 按产品规则确定。先把域名盘清，再选证书类型，能避免大部分部署返工。