一证覆盖多个主域名
一张证书同时保护不同主域名与不同顶级域，例如 example.com、example.cn 与 brand.com，告别逐个购买与管理。
SANSAN / UCC · 一证多域
多域名 SSL 证书（SAN / UCC）
多域名 SSL 证书（又称 SAN 证书或 UCC 证书）是通过 X.509 证书的“主题备用名称”（Subject Alternative Name，SAN）扩展，在一张证书中同时保护多个不同域名的 SSL/TLS 证书，例如 example.com、example.net 与 shop.example.cn。多域名证书可以混合不同的主域名与顶级域，支持 DV、OV、EV 验证级别，单张证书上限一般为 100–250 个名称；有效期内可以通过重新签发增删域名，部分产品还支持加入通配符名称。
- 原理：域名写在 X.509 证书的主题备用名称（SAN）扩展中，浏览器只依据 SAN 匹配。
- 混合域名：可同时包含不同主域名、不同顶级域与子域名，每个名称分别验证。
- 数量：基础价格含少量域名，可增购；上限一般 100–250 个，以产品为准。
- 增删：有效期内通过重新签发增加、替换或删除域名。
- 可见性：证书中的全部名称公开可见，并写入证书透明度日志。
- 级别：DV、OV、EV 均可；加入通配符名称时只能是 DV / OV。
什么是多域名证书（SAN 证书）？
多域名证书是在一张 SSL/TLS 证书中列出多个域名、让这些域名共用同一张证书与私钥的证书类型。它利用 X.509 证书的“主题备用名称”（Subject Alternative Name，SAN）扩展（RFC 5280）存放域名清单，因此也被称为 SAN 证书；由于早期常用于 Microsoft Exchange 与统一通信环境，又被称为 UCC（Unified Communications Certificate）证书。
SAN 扩展本身就是一个名称列表。CA/浏览器论坛的基线要求规定 SSL 证书必须包含 SAN 扩展，传统的“通用名称”（Common Name，CN）字段如果存在，也必须是 SAN 中的某一项；Chrome 自 58 版（2017 年）起不再使用 CN 匹配域名，只认 SAN。所以从技术上看，单域名证书是 SAN 中只有一两个名称的证书，多域名证书则是 SAN 中有多个名称的证书，两者的验证、签发与信任机制完全相同。
多域名证书中的名称可以属于不同的主域名甚至不同的顶级域，例如同时包含 example.com、www.example.net 与 shop.example.cn。浏览器访问其中任何一个名称时，都会在 SAN 列表中找到匹配项；没有列入清单的名称则不受保护，需要通过重新签发添加。
示例证书包含的域名：example.com www.example.com example.net shop.example.cn
| 访问地址 | 是否受保护 | 说明 |
|---|---|---|
example.com、www.example.com | 受保护 | 证书中列出的名称 |
example.net | 受保护 | 不同的主域名 |
shop.example.cn | 受保护 | 不同的顶级域 |
api.example.com | 不受保护 | 未列入证书，可通过重签添加 |
www.example.cn | 不受保护 | 只列入了 shop.example.cn，同一主域名的其他名称不会自动包含 |
多域名证书与验证级别
多域名证书可以是 DV、OV 或 EV：DV 多域名只验证每个名称的控制权；OV / EV 多域名在此基础上核验组织身份，证书中写入一个组织名称。由于 EV 不支持通配符，需要 EV 又要覆盖多个站点时，EV 多域名证书是唯一能“一证多站”的选择。
多域名证书的 SAN 清单可以写哪些名称？
多域名证书的 SAN 清单可以混合不同的注册域名、子域名、www 与根域名，部分产品还支持通配符名称与公网 IP 地址；内网主机名与私有 IP 不能写入公共信任证书。清单中的每一个名称都必须单独通过 CA 的验证，才能出现在证书中。
| 名称类型 | 示例 | 能否写入 | 说明 |
|---|---|---|---|
| 不同的注册域名 | example.com、brand.com | 可以 | 每个注册域名分别验证 |
| 不同的顶级域 | example.cn、example.jp | 可以 | 常用于多地区站点 |
| 同一主域名的子域名 | mail.example.com、api.example.com | 可以 | 每个子域名占用一个名称额度 |
| www 与根域名 | www.example.com、example.com | 可以 | 是否各占一个额度、是否自动附带，以产品为准 |
| 通配符名称 | *.example.com、*.example.net | 部分产品 | 仅多域名通配符产品（DV / OV），只能 DNS 或邮箱验证 |
| 公网 IP 地址 | 203.0.113.10 | 部分产品 | 如 GoGetSSL Public IP SAN；EV 不能包含 IP |
| 中文域名 | 例子.中国（Punycode：xn--…） | 可以 | 以 Punycode 编码写入，多数 CA 支持 |
| 内网主机名与私有 IP | server01、192.168.1.10 | 不可以 | 自 2015 年起不能出现在公共信任证书中 |
OV / EV 多域名证书中的域名必须属于同一家组织吗？
OV / EV 证书中只写入一个组织名称，因此证书中的所有域名都应由该组织控制或获得授权。集团旗下多个子公司分别持有的域名，通常需要域名持有方的授权，或改为按法人主体分别申请证书。DV 多域名证书不写入组织信息，只要能完成每个名称的域名验证即可签发，但把不同主体的域名放进同一张证书，会让它们在证书中相互可见。
每个名称如何验证？
- 逐个名称验证：CA 需要确认申请者对清单中每个名称的控制权，任何一个未通过，整张证书都不能签发；
- 验证方式可以不同：不同名称通常可以分别使用 DNS、HTTP 文件或邮箱验证，以 CA 规则为准；通配符名称只能用 DNS（或邮箱，视 CA）验证；
- CAA 记录逐域检查：自 2017 年 9 月起 CA 必须检查 CAA 记录（RFC 8659），清单中任何一个域名的 CAA 不允许该 CA，都会导致签发失败；
- 自动化建议：域名分布在多个 DNS 服务商时，为每个服务商授权 DNS API，EncryptionSign 即可批量自动完成验证。
Limits & Changes
多域名证书最多能放多少个域名？如何增删？
多域名证书的名称数量按产品计价与限制，名称清单只能通过重新签发变更。
| 项目 | 常见规则 | 注意事项 |
|---|---|---|
| 基础包含数量 | 多数产品基础价格包含少量名称（常见 2–5 个） | 以所选产品为准，www 与根域名是否各占一个额度也以产品为准 |
| 单张上限 | 一般 100–250 个名称，部分品牌最多 250 个 | 名称越多证书体积越大，TLS 握手传输的数据也越多 |
| 增加名称 | 增购额度后重新签发 | 新名称需完成域名验证 |
| 替换名称 | 在已购额度内重新签发 | 被替换的名称将不再受新证书保护 |
| 删除名称 | 重新签发不含该名称的证书 | 域名转让或停用时应尽快重签，并确认旧证书已被替换或吊销 |
| 重签后的旧证书 | 部分 CA 会在重签后吊销旧证书 | 以 CA 规则为准，应尽快在所有服务器上部署新证书 |
| 续期 | 全部名称一起续期 | 任何一个名称验证失败都会阻止整张证书续期 |
在有效期内增删域名的步骤
- 修改名称清单：在控制台编辑证书的域名列表，超出已购数量时先增购额度；
- 验证新名称：新增的名称需要完成域名验证，仍在验证复用期内的原有名称通常无需重复验证；
- 重新签发：CA 签发一张包含新名称清单的证书，建议同时生成新的私钥与 CSR；
- 全量替换部署：把新证书部署到所有使用旧证书的服务器、负载均衡与 CDN，EncryptionSign 自动部署会同步更新全部目标。
名称很多时，建议按业务线、法人主体或运维团队拆分为几张证书：单张证书越大，一个域名出问题时受影响的站点越多，重签时需要更新的部署目标也越多。
多域名证书中的所有域名都是公开的
多域名证书 SAN 清单中的每一个名称，都对任何查看证书的人可见，并且会被写入公开的证书透明度（Certificate Transparency，CT）日志。访问其中任何一个网站的用户，只要在浏览器中打开证书详情，就能看到同一张证书保护的全部其他域名；而 Chrome 自 2018 年 4 月起要求新签发的证书带有 CT 日志的签名证明（SCT，RFC 6962），因此证书一经签发，其中的名称就可以在 crt.sh 等站点被任何人检索到，即使网站尚未上线。
这意味着多域名证书会暴露以下信息：
- 业务关联：不同品牌、子公司或合作项目共用一张证书，外界可以据此判断它们属于同一运营方；
- 客户关系：托管服务商把多个客户的域名放在同一张证书中，客户之间会相互看到对方的域名；
- 未发布的业务：新产品、新活动的域名在上线前就会出现在 CT 日志中；
- 内部系统入口：admin、vpn、test 等子域名被公开列出，增加被针对性扫描的可能。
如何降低暴露风险？
按“谁能看到都没关系”的原则分组：同一品牌、同一业务的公开站点放在一张证书中；彼此无关的品牌、不同客户的站点使用独立证书；内部系统与尚未发布的业务不要放进对外站点的证书。对于同一主域名下数量多、又不希望逐个公开的子域名，可以改用通配符证书，CT 日志中只显示 *.example.com，但需要同时评估多台服务器共享同一私钥的风险。
Features
多域名证书的优势
域名分散在多个主域名、多个顶级域下时，一张证书统一签发、部署与续期。
统一签发与续期
全部名称共用一个到期日，一次验证、一次部署、一次续期，证书数量少，到期提醒与监控也更简单。
支持 EV 一证多站
EV 不支持通配符，EV 多域名证书是用一张 EV 证书保护多个站点的方式，适合金融与大型平台的多业务域名。
可组合通配符名称
部分产品支持在清单中加入 *.example.com 等通配符名称（DV / OV），同时覆盖多个主域名及其一级子域名。
不依赖 SNI
所有名称在同一张证书中，服务器无需根据 SNI（RFC 6066）选择证书，个别不发送 SNI 的旧客户端也能匹配到正确的名称。
适配复杂部署
适用于 Exchange 与统一通信、单台服务器托管多个站点、负载均衡与 CDN 统一入口等需要一张证书覆盖多个名称的环境。
How It Works
多域名证书申请流程
通过 EncryptionSign 申请，全部名称的验证、签发、部署与续期都可以自动完成。
填写名称清单
选择品牌、验证级别与名称数量，填写需要保护的全部域名；OV / EV 同时填写组织信息。
批量验证
平台通过各域名所在 DNS 服务商的 API 自动添加验证记录，也可为个别名称选择 HTTP 文件或邮箱验证。
签发证书
全部名称验证通过、CAA 检查无误后，CA 签发一张包含全部名称的证书；OV / EV 另需完成组织审核。
部署与续期
证书自动部署到各站点使用的服务器、负载均衡与 CDN，到期前在服务期内自动重签并重新部署。
Use Cases
多域名证书适用场景
需要保护的名称分属多个主域名，又希望集中管理时，多域名证书最合适。
多品牌企业
集团旗下多个品牌官网，例如 example.com、brand-a.com、brand-b.cn 统一使用一张 OV 或 EV 证书。
多地区站点
example.com、example.cn、example.jp 等不同国家与地区的站点，内容不同但由同一团队运维。
Exchange 与统一通信
mail.example.com、autodiscover.example.com 等邮件与协作服务名称，是 UCC 证书名称的由来。
多站点服务器
同一台服务器、负载均衡或 CDN 上托管的多个网站，用一张证书覆盖全部入口。
Brands
多域名证书推荐品牌
以下品牌在 EncryptionSign 提供多域名证书；单张证书的名称上限与基础包含数量以各产品为准。
| 品牌 | 定位 | 多域名证书的特点 | 适合谁 |
|---|---|---|---|
| Sectigo | 全系列国际 CA（原 Comodo CA） | DV、OV、EV 均提供多域名版本，可混合不同主域名 | 需要国际品牌、多站点统一管理的中小企业 |
| PositiveSSL | Sectigo 旗下入门品牌 | PositiveSSL Multi-Domain（DV），由 Sectigo 签发 | 预算有限、只需加密的多站点用户 |
| DigiCert | 高端企业级 | OV / EV 多域名（Basic、Secure Site 等），不提供 DV | 金融、上市公司与大型企业的多业务域名 |
| GlobalSign | 老牌欧洲 CA，GMO 旗下 | DomainSSL、OrganizationSSL、ExtendedSSL 均有多域名版本 | 跨国企业的多地区站点 |
| GeoTrust | DigiCert 旗下高性价比品牌 | True BusinessID（OV）与 True BusinessID EV 提供多域名版本 | 希望使用 DigiCert 体系、预算适中的企业 |
| Thawte | 1995 年创立的国际老牌 CA | SSL Web Server（OV）与 SSL Web Server with EV 提供多域名版本 | 偏好国际老牌的企业 |
| Certum | Asseco 旗下欧洲 CA | Commercial（DV）、Trusted（OV）、EV 均有多域名版本 | 注重性价比、有欧洲业务的企业 |
| GoGetSSL | 高性价比品牌，支持公网 IP 证书 | DV / OV / EV 多域名；Public IP SAN 可在证书中写入公网 IP | 需要在一张证书中混合域名与公网 IP 的用户 |
| sslTrus | 国产品牌，多可信根体系 | DV / OV / EV 多域名，国产品牌中提供 EV 多域名 | 倾向国产品牌、需要一证多站的政企 |
Sectigo
PositiveSSL
DigiCert
GlobalSign
GeoTrust
Thawte
Certum
GoGetSSL
sslTrusComparison
多域名、通配符与多域名通配符证书对比
按需要保护的名称结构选择证书类型：不同主域名用多域名，同一主域名的大量子域名用通配符，两者兼有用多域名通配符。
| 对比项 | 单域名证书 | 通配符证书 | 多域名证书当前 | 多域名通配符证书 |
|---|---|---|---|---|
| 保护范围 | 1 个完整域名 | 一个主域名下的全部一级子域名 | 清单中列出的多个名称 | 多个通配符名称及普通名称 |
| 示例 | www.example.com | *.example.com | example.com、example.net、shop.example.cn | *.example.com、*.example.net |
| 不同主域名 | 不支持 | 不支持 | 支持 | 支持 |
| 新增子域名 | 需另行申请 | 一级子域名自动覆盖 | 需重签添加 | 通配符名称下的一级子域名自动覆盖 |
| 多级子域名 a.b.example.com | 需单独申请 | 不覆盖 | 可作为单独名称列入 | 可加入 *.b.example.com 覆盖 |
| 验证级别 | DV / OV / EV | DV / OV | DV / OV / EV | DV / OV |
| 验证方式 | DNS / HTTP 文件 / 邮箱 | DNS（或邮箱，视 CA） | 每个名称分别验证 | 通配符名称只能 DNS（或邮箱） |
| CT 日志中可见 | 该主机名 | *.example.com | 全部列出的名称 | 全部通配符与普通名称 |
| 适用场景 | 单一站点 | 同一主域名下子域名多 | 多品牌、多地区、多站点 | 多个主域名且各有大量子域名 |
Validity
2026–2029 年有效期新规对多域名证书的影响
CA/浏览器论坛 SC-081 决议（2025 年 4 月通过）分三个阶段缩短 SSL 证书的最长有效期与域名验证复用期；此前（2020 年 9 月 1 日起）单张证书最长 398 天。
| 生效日期 | 单张证书最长有效期 | 域名验证复用期 | 对多域名证书的影响 |
|---|---|---|---|
| 2026-03-15 起 | 200 天 | 200 天 | 每年至少续期两次，每次确认全部名称的验证状态 |
| 2027-03-15 起 | 100 天 | 100 天 | 每年约 4 次续期，名称越多，人工验证工作量越大 |
| 2029-03-15 起 | 47 天 | 10 天 | 几乎每次续期都要重新验证全部名称，必须自动化 |
- 一个名称失败，整张证书无法续期：域名过期、解析迁走或 CAA 记录变更，都会阻止整张多域名证书续期；应定期清理不再使用的名称；
- 为全部域名配置 DNS API：域名分散在多个 DNS 服务商时，逐一授权 API，避免依赖需要人工点击的邮箱验证；
- OV / EV 组织信息复用期为 398 天：2026-03-15 起组织身份信息复用期为 398 天，期间续期只需重新验证域名；
- 多年期订单仍然有效：CA 在订单期内多次重新签发证书，EncryptionSign 在服务期内自动重签并部署到全部目标，可以锁定价格、减少续费操作。
FAQ
多域名证书常见问题
关于多域名证书的域名数量、增删域名、通配符组合、可见性与续期，用户最常问的问题。
多域名证书最多可以包含多少个域名？
不同产品的规则不同：多数产品的基础价格包含少量域名（常见为 2–5 个），超出部分可以按个增购；单张证书的上限一般在 100–250 个之间，部分品牌最多支持 250 个，以所选产品为准。域名很多时，建议按业务或归属拆分为几张证书，而不是全部放进一张。
多域名证书可以包含不同的主域名吗？
可以。多域名证书中的名称可以属于不同的主域名甚至不同的顶级域，例如同时包含 example.com、example.net、shop.example.cn 与 brand.com，每个名称都需要单独完成域名验证。OV / EV 多域名证书中只写入一个组织名称，所有域名都应由该组织控制或获得授权。
可以在有效期内添加或更换域名吗？
大多数产品允许在有效期内通过重新签发（Reissue）增加、替换或删除域名。新增的名称需要完成域名验证，超出已购数量时需要增购；重签会生成一张包含新名称清单的新证书，需要部署到所有使用该证书的服务器，部分 CA 会在重签后吊销旧证书，以 CA 规则为准。
多域名证书可以包含通配符域名吗？
部分产品支持多域名通配符证书，可以在一张证书中同时包含 *.example.com、*.example.net 等多个通配符名称，也可以与普通域名混合。多域名通配符证书只有 DV、OV 级别，EV 不支持通配符；其中的通配符名称只能通过 DNS（或邮箱，视 CA）验证。
多域名证书和通配符证书怎么选？
需要保护的是同一主域名下的多个子域名，并且子域名多或经常新增时，通配符证书更经济；需要保护多个不同的主域名或顶级域时，选择多域名证书；两种需求兼有时考虑多域名通配符证书。需要 EV 时只能选多域名证书或单域名证书。
多域名证书中的域名别人能看到吗？
能。证书中的全部名称对任何查看证书的人可见，并且会写入公开的证书透明度（CT）日志，任何人都可以在 crt.sh 等站点按域名检索到。彼此无关的品牌、客户站点或尚未发布的业务，建议使用独立证书，以免暴露业务关联。
一个域名验证失败会影响整张证书吗？
会。CA 必须验证证书中的全部名称后才能签发，任何一个名称验证失败（例如域名已过期、解析已迁走或 CAA 记录不允许该 CA），整张证书都无法签发或续期。此时应修复该域名的验证，或在重签时将其从名称清单中移除。
多域名证书多少钱？
价格取决于品牌、验证级别、包含的域名数量与购买年限：基础价格包含少量域名，超出部分按个计价，通配符名称单独计价。登录 EncryptionSign 控制台的“证书价格”页面可查看各品牌多域名证书的实时一年期价格，企业客户可申请专属价。
2026 年起多域名证书有效期多久？
与其他 SSL 证书相同：2026 年 3 月 15 日起最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天，域名验证复用期同步缩短到 200 天、100 天与 10 天。多域名证书每次续期都要确认全部名称的验证状态，建议为所有域名配置 DNS API 自动验证。
参考资料与更新说明
本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理，最后更新于 。CA 产品名称、验证规则与行业政策可能调整，请以 CA 官方与 CA/浏览器论坛最新发布为准；如需确认，请联系 support@encryptionsign.com。