通配符证书 vs 多域名证书：SSL证书该选哪个

两种证书都解决”一个证书保护多个域名”的问题

通配符证书和多域名证书（SAN/UCC）长得像，作用都是”一张证书覆盖多个域名”，但覆盖逻辑完全不同。选错了要么多花钱，要么加不了新子域名。

通配符证书用 *. 通配符匹配，一张证书保护一个根域名下的所有一级子域名：

• •申请 *.example.com，能保护 www.example.com、api.example.com、blog.example.com、mail.example.com…
• •加新子域名不用重新申请证书，直接能用

多域名证书用SAN（Subject Alternative Name）字段列出多个具体域名：

• •申请时填写 www.example.com, api.example.com, blog.example.com
• •每个域名都要列出来，加新域名必须重新签发证书

核心差异对比

| 对比项 | 通配符证书 | 多域名证书 |

|——–|————|————|

| 覆盖范围 | 一个根域名的所有子域名 | 多个具体域名（可跨根域名） |

| 域名格式 | *.example.com | example.com, www.example.com, ... |

| 加新子域名 | 直接生效，无需重签 | 必须重新签发证书 |

| 跨根域名 | 不支持 | 支持（可含 example.com + example.net） |

| 通配符层级 | 只匹配一级子域名 | 不限层级，但要逐个列出 |

| 免费方案 | ZeroSSL/Let’s Encrypt支持 | ZeroSSL/Let’s Encrypt支持 |

| 价格（付费） | 较贵 | 域名数量越多越贵 |

通配符证书的关键限制

只匹配一级子域名。这是最容易踩坑的地方。

申请 *.example.com：

• •✓ 保护 www.example.com
• •✓ 保护 api.example.com
• •✓ 保护 blog.example.com
• •✗ 不保护 example.com（根域名本身要单独加）
• •✗ 不保护 dev.api.example.com（二级子域名）

要保护根域名，申请时同时填 *.example.com 和 example.com。ZeroSSL和Let’s Encrypt都支持这种组合签发。

要保护二级子域名，需要单独申请 *.api.example.com，或者用多域名证书逐个列出。

多域名证书的优势

跨根域名支持是多域名证书最大的杀手锏。

如果你同时运营：

• •example.com
• •example.net
• •another.com

通配符证书搞不定，只能用多域名证书，把三个根域名和它们的子域名都列在SAN里：

example.com, www.example.com, example.net, www.example.net, another.com

多域名证书的灵活度更高，不受根域名限制，想保护哪个域名就加哪个。

选型决策树

按场景选：

场景1：单个根域名，子域名多且经常变动

→ 通配符证书。一次申请，后续加子域名不用管证书。

场景2：多个根域名（不同域名后缀）

→ 多域名证书。通配符跨不了根域名。

场景3：固定几个子域名，不会增加

→ 多域名证书。管理清晰，不用通配符的”无限”特性。

场景4：根域名 + 所有子域名

→ 通配符证书（申请时加根域名）。

场景5：企业有多个品牌网站

→ 多域名证书。一张证书管理所有品牌域名，续签统一。

免费方案的现状

好消息：通配符和多域名证书都能免费申请。

| CA | 通配符 | 多域名 | 有效期 |

|—-|——–|——–|——–|

| ZeroSSL | 支持 | 支持 | 90天 |

| Let’s Encrypt | 支持 | 支持 | 90天 |

| Buypass | 支持 | 支持 | 180天 |

通配符证书必须用DNS验证，HTTP验证签不了。这是ACME协议的硬性规定。用acme.sh或certbot配合DNS API可以全自动。

多域名证书两种验证都支持，DNS或HTTP都行。

续签成本对比

通配符证书续签简单：90天到期前重新跑一次acme.sh命令，覆盖原来的证书文件，配置不用动。

多域名证书续签要注意：如果中途加过新域名，续签命令要包含所有当前域名。漏一个就保护不到。建议把所有域名记在配置文件里，避免遗忘。

实用建议

混合使用也很常见：

• •主域名 example.com + 所有子域名 → 通配符证书 *.example.com
• •另一个独立项目 project.net → 单独申请一张证书

这样每张证书职责单一，故障隔离性好，一张证书出问题不影响另一个域名。

—

一句话总结：单根域名用通配符，跨根域名用多域名。免费证书两种都支持，选错的成本只是重新申请一次。