*泛域名 · 一级子域名数量不限

通配符 SSL 证书（泛域名证书）

通配符 SSL 证书（又称泛域名证书）是在域名最左侧使用星号（*）的 SSL/TLS 证书：一张 *.example.com 证书可以同时保护 www.example.com、shop.example.com、api.example.com 等任意数量的一级子域名，新增子域名无需重新申请。通配符证书提供 DV 与 OV 两种验证级别，不支持 EV，只能通过 DNS（部分 CA 也接受邮箱）验证，适合子域名众多、变化频繁的业务。

更新于 EncryptionSign 证书技术团队首次发布

申请通配符证书咨询证书专家
  • 子域名不限
  • DV / OV
  • DNS 自动验证
  • 新业务即开即用
  • 多数品牌不限服务器

通配符证书要点速览

一句话回答：通配符证书用一张 *.example.com 证书保护同一主域名下任意数量的一级子域名，但不覆盖二级子域名，也不能用于 EV 与 IP 地址。它只能通过 DNS（部分 CA 也接受邮箱）验证，最大的风险在于同一把私钥被复制到多台服务器。子域名多且经常变化时选通配符；要保护多个不同主域名时选多域名证书。

  • 匹配规则：星号只能占据最左侧一级，只匹配一级子域名，不匹配 a.b.example.com。
  • 主域名：*.example.com 本身不含 example.com，多数产品会在 SAN 中附带主域名。
  • 验证级别：提供 DV 与 OV 通配符；EV 指南禁止 EV 证书包含通配符。
  • 验证方式：不能使用 HTTP 文件验证，需 DNS 记录（ACME dns-01），部分 CA 支持邮箱。
  • 安全风险：私钥在多台服务器共享，一处泄露会影响全部子域名。
  • 有效期：2026 年 3 月 15 日起单张最长 200 天，DNS API 自动续期成为标配。

什么是通配符 SSL 证书？

通配符 SSL 证书是证书中的域名以“*.”开头、可以匹配同一级任意子域名的 SSL/TLS 证书。它也常被称为泛域名证书或 Wildcard SSL。一张为 *.example.com 签发的证书，可以部署在 www.example.com、shop.example.com、api.example.com、m.example.com 等任意数量的一级子域名上，业务新增子域名时直接使用同一张证书即可，不需要重新申请。

通配符的匹配规则由 CA/浏览器论坛《基线要求》与 IETF 标准 RFC 9525（2023 年发布，取代 RFC 6125）共同规定：

  • 星号必须单独占据最左侧一级：*.example.com 合法，www.*.example.com 或 w*.example.com 这样的写法不被允许；
  • 只匹配一级标签：*.example.com 匹配 shop.example.com，但不匹配 a.shop.example.com，也不匹配 example.com 本身；
  • 不能直接位于公共后缀之下：CA 不会签发 *.com、*.com.cn 这类通配符，申请者必须拥有星号右侧的注册域名；
  • 不匹配 IP 地址：通配符只适用于域名，IP 地址证书需要逐个写入。

通配符证书有哪些验证级别？

通配符证书提供 DV 与 OV 两种验证级别：DV 通配符只验证域名控制权，最快数分钟签发；OV 通配符同时把经核验的企业名称写入证书，通常 1–3 个工作日签发。EV 证书不支持通配符——CA/浏览器论坛《EV 证书指南》明确禁止 EV 证书包含通配符域名，需要 EV 的域名只能逐个写入 EV 单域名或多域名证书。

证书里实际写了什么？

通配符证书的“使用者可选名称”（SAN）中写有 *.example.com，多数产品还会同时写入主域名 example.com，所以一张证书通常可以同时保护主域名和全部一级子域名。证书签发后会写入公开的证书透明度（CT）日志，日志中只出现 *.example.com，不会暴露具体有哪些子域名——这是通配符证书在隐私上的一个附带好处。

通配符证书能覆盖哪些域名？匹配规则详解

*.example.com 能覆盖 example.com 下任意一个一级子域名，但不能覆盖二级子域名、其他主域名与 IP 地址；主域名 example.com 是否包含取决于产品，多数产品会附带。下表以一张 *.example.com 证书为例，列出常见访问地址是否受保护。

示例证书包含的域名：*.example.com（多数产品同时附带 example.com）

*.example.com 通配符证书匹配范围
访问地址是否受保护说明
www.example.com受保护一级子域名
shop.example.com、api.example.com受保护任意一级子域名，数量不限，新增无需重签
example.com通常受保护通配符本身不匹配主域名；多数产品在 SAN 中附带主域名，以产品为准
a.shop.example.com不受保护二级子域名，需要 *.shop.example.com 或多域名通配符
example.net、example.com.cn不受保护不同的主域名，需要多域名证书
203.0.113.10不受保护通配符不匹配 IP 地址，公网 IP 需单独写入支持 IP 的证书
server01、app.corp.local不受保护内网名称自 2015 年起不能出现在公共信任证书中

多级子域名怎么办？

当业务有 a.shop.example.com、x.api.example.com 这样的二级子域名时，*.example.com 无法覆盖。常见的解决方法有三种：

多级子域名的三种证书方案
方案证书中的域名示例优点注意事项
为下一级单独申请通配符*.shop.example.com结构清晰，不同业务线的私钥相互隔离每个需要覆盖的子区各需一张证书
多域名通配符证书example.com、*.example.com、*.shop.example.com一张证书覆盖多个层级，甚至多个主域名增删域名需要重签；全部域名在证书中公开可见；私钥覆盖面更大
为少量深层主机签发单域名证书a.shop.example.com简单直接，风险最小主机数量多时管理成本高，适合个别主机

多数国际品牌提供多域名通配符（Multi-Domain Wildcard）版本，可在 SAN 中同时写入多个通配符与普通域名，具体可写入的数量以产品为准，详见多域名证书。只有一个主机需要保护时，单域名证书更简单。

通配符证书为什么只能用 DNS 验证？

CA/浏览器论坛《基线要求》规定，HTTP 文件验证（包括 ACME http-01）只能证明对某一个具体主机名的控制权，不能用于验证通配符域名；因此通配符证书必须通过在 DNS 中添加 CA 指定的记录来证明对整个域名的控制权，部分 CA 也接受域名管理邮箱验证。在 ACME 协议（RFC 8555）中，通配符证书对应的是 dns-01 验证。

DNS 验证的具体做法

  • 商业 CA 的 DNS 验证：在主域名的权威 DNS 中添加 CA 指定名称与取值的 TXT 或 CNAME 记录，CA 查询到记录后即完成验证；
  • ACME dns-01：在 _acme-challenge.example.com 下添加 TXT 记录。同一订单同时申请 *.example.com 与 example.com 时，同一个记录名下可能需要同时存在两条不同取值的 TXT 记录；
  • CNAME 委托：主域名的 DNS 不便开放 API 时，可以把 _acme-challenge 以 CNAME 指向一个专门用于验证、可通过 API 管理的域，Let's Encrypt 等 ACME CA 支持跟随 CNAME 查询；
  • 默认线路与多视角验证：CA 自 2025 年起从多个网络位置同时验证（MPIC），验证记录应添加在 DNS 的“默认”线路上，详见 DV 证书页。

CAA 记录中的 issuewild

CAA 记录（RFC 8659）除了用 issue 控制所有证书，还可以用 issuewild 单独控制通配符证书：存在 issuewild 记录时，通配符证书的签发以 issuewild 为准。例如 example.com. CAA 0 issuewild "sectigo.com" 只允许 Sectigo 签发通配符证书，example.com. CAA 0 issuewild ";" 则禁止任何 CA 签发通配符证书。申请通配符证书前，请确认 issue 与 issuewild 都授权了所选 CA；企业也可以借助 issuewild，把通配符证书限定在指定 CA，降低被滥签的风险。

为什么 DNS API 自动化对通配符尤其重要？

根据 SC-081 决议，域名验证结果的复用期将从 2026 年的 200 天逐步缩短到 2029 年的 10 天，而通配符证书没有 HTTP 验证这个“退路”，每次重签都要更新 DNS 记录。在 EncryptionSign 授权 DNS 服务商 API 后，平台自动添加验证记录、验证通过后自动删除，并把新证书部署到所有使用它的服务器，通配符证书同样可以实现全自动续期。

通配符证书的私钥共享风险与最佳实践

通配符证书最大的安全风险来自私钥共享：同一把私钥往往被复制到多台服务器、多个团队甚至第三方服务，任何一处泄露，攻击者都可以冒充该主域名下的任意一级子域名，而且吊销证书会同时影响全部业务。通配符证书带来的便利，正是以扩大私钥的影响范围为代价的。

主要风险

  • 影响范围大：一台测试服务器被入侵导致私钥泄露，攻击者就能为 login.example.com、pay.example.com 等任意子域名伪造可信的 HTTPS 站点；
  • 跨服务攻击：2021 年公开的 ALPACA 研究表明，当同一张证书同时用于网站与 FTP、邮件等其他服务时，攻击者可能利用协议混淆发起跨协议攻击；美国国家安全局（NSA）同年发布提示，建议谨慎使用通配符证书；
  • 传输与存储泄露：私钥通过邮件、聊天工具发送，或被提交到代码仓库、打包进镜像，是最常见的泄露途径；
  • 第三方托管：把通配符证书与私钥上传到 CDN、SaaS 或外包服务商，等于把整个主域名的身份交给对方；
  • 吊销代价高：私钥一旦泄露必须吊销证书，基线要求规定 CA 在确认私钥泄露后 24 小时内吊销，所有使用该证书的服务都要同时更换。

最佳实践

  1. 按安全边界拆分证书：生产与测试环境使用不同的证书；登录、支付等核心业务使用单独的单域名或多域名证书，不与普通子站点共用通配符私钥。
  2. 集中终止 TLS：在负载均衡、API 网关或 CDN 上统一部署通配符证书，后端服务器之间使用内部证书，减少私钥副本数量。
  3. 尽量为不同服务器使用不同私钥：部分 CA 允许在同一订单下多次重签或签发副本，各服务器分别生成密钥与 CSR，一处泄露不影响其他服务器。
  4. 严格保管私钥：私钥文件只允许服务进程读取，不进入代码仓库与镜像，不通过邮件或聊天工具传输；条件允许时使用 HSM 或云密钥管理服务。
  5. 每次重签都更换私钥：证书有效期缩短后重签更加频繁，借助自动化在每次重签时生成新私钥，缩短泄露私钥的可用时间。
  6. 监控证书透明度日志：通过 crt.sh 等工具监控主域名下新签发的证书，并用 CAA 的 issuewild 限定可签发通配符证书的 CA。
  7. 人员变动或疑似泄露时立即处置：接触过私钥的人员离职、服务器被入侵或私钥疑似外泄时，立即重签新证书、部署后吊销旧证书。
Features

通配符证书的核心优势

子域名越多、变化越频繁，通配符证书越划算、越省心。

一级子域名不限

一张 *.example.com 证书保护任意数量的一级子域名，业务扩张时不受证书数量限制。

新业务即开即用

新增子域名无需申请、验证或等待签发，直接部署已有证书，适合频繁上线新站点与新租户。

降低总成本

子域名较多时，一张通配符证书的总成本明显低于为每个子域名分别购买证书。

统一管理与续期

多个子域名共用一张证书，统一续期、统一部署、统一监控，证书数量与到期提醒大幅减少。

不暴露子域名清单

CT 日志中只出现 *.example.com，不会像多域名证书那样公开列出全部子域名。

DV / OV 可选

DV 通配符最快数分钟签发；OV 通配符同时在证书中展示经核验的企业身份。

How It Works

通配符证书申请流程

通过 EncryptionSign 申请，DNS 验证、签发、部署与续期全程自动化。

  1. 选择证书

    选择品牌与 DV / OV 级别，输入 *.example.com，确认是否附带主域名，平台生成 CSR 与密钥对。

  2. DNS 验证

    平台通过 DNS API 自动添加验证记录并检查 CAA；OV 通配符另需 CA 完成组织审核。

  3. 签发证书

    验证完成后 CA 签发证书：DV 最快数分钟，OV 通常 1–3 个工作日。

  4. 批量部署

    证书自动部署到所有使用这些子域名的服务器、负载均衡与 CDN，服务期内到期前自动重签。

Use Cases

通配符证书适用场景

同一主域名下子域名多、变化快的业务，最适合使用通配符证书。

SaaS 多租户平台

为每个客户分配 tenant.example.com 子域名的平台，新客户开通即可使用 HTTPS。

电商与业务矩阵

www、shop、m、api、pay 等多个子域名组成的业务体系，统一管理证书。

CDN 与静态资源

img、static、cdn 等静态资源子域名，以及按区域划分的加速节点。

开发与测试环境

dev、test、staging 等频繁变化的环境子域名，建议与生产环境使用不同的证书。

安全提示：通配符证书的私钥往往部署在多台服务器上，一旦泄露会影响全部子域名。建议通过 EncryptionSign 集中管理与自动部署证书，并为登录、支付等高敏感业务单独配置证书。客户自定义域名（如 shop.customer.com）不在 *.example.com 范围内，需要单独签发。
Brands

哪些品牌提供通配符证书？

EncryptionSign 提供的 11 个品牌均有通配符证书，区别在验证级别、品牌定位与签发体系。

提供通配符证书的品牌对比
品牌定位通配符产品与特点适合谁
AlphaSSLGlobalSign 旗下经济型品牌AlphaSSL Wildcard（DV），链接 GlobalSign 根，通配符性价比突出预算有限、只需加密的子域名集群
PositiveSSLSectigo 旗下入门级品牌PositiveSSL Wildcard（DV），与 Sectigo 使用相同证书链个人开发者与中小网站
Sectigo原 Comodo CA，全系列商业 CADV 与 OV 通配符，支持 ACME需要在 DV 与 OV 之间灵活选择的企业
GlobalSign1996 年创立的老牌 CA，GMO 旗下DomainSSL（DV）与 OrganizationSSL（OV）通配符跨国企业与需要欧洲 CA 的业务
DigiCert高端企业级 SSL 与 PKI 品牌Basic OV、Secure Site OV 通配符（仅 OV）需要顶级品牌背书的大型企业
GeoTrustDigiCert 旗下品牌QuickSSL Premium（DV）与 True BusinessID（OV）通配符希望以适中预算使用 DigiCert 签发体系的企业
Thawte1995 年创立，现属 DigiCertSSL Web Server 通配符版（OV）偏好老牌国际品牌的企业
CertumAsseco 旗下欧洲 CACommercial（DV）与 Trusted（OV）通配符欧洲业务或同时需要 Certum 签名产品的用户
GoGetSSL高性价比品牌，支持公网 IP 证书Domain SSL（DV）与 BusinessTrust SSL（OV）通配符注重性价比的中小企业
sslTrus锐安信，国产 SSL 品牌DV 与 OV 通配符；RSA / ECC / SM2，国内 OCSP 优化国内业务为主、需要国密算法的平台
KeepTrust环安信，国产根证书品牌DV 与 OV 通配符；审核签发在国内完成、资料不出境对资料出境敏感的政企与机构
所有品牌的通配符证书都只提供 DV 或 OV 级别，没有 EV 通配符。各品牌通配符证书的实时价格请登录控制台“证书价格”页面查看，企业批量采购可联系我们获取专属价。
Comparison

通配符、单域名、多域名证书如何选择？

根据需要保护的域名数量与结构选择证书类型；验证级别（DV / OV / EV）是另一个独立的选择维度。

单域名、通配符、多域名证书对比
对比项单域名证书通配符证书当前多域名证书多域名通配符证书
保护范围1 个完整域名主域名下全部一级子域名多个指定的域名多个通配符与指定域名
示例www.example.com*.example.comexample.com、example.net*.example.com、*.example.net
验证级别DV / OV / EVDV / OVDV / OV / EVDV / OV
新增一级子域名需另行申请无需重签需重签添加已覆盖的通配符下无需重签
新增其他主域名需另行申请需另行申请重签添加重签添加
域名验证方式DNS / HTTP 文件 / 邮箱DNS（部分 CA 支持邮箱）每个域名分别验证通配符项需 DNS 验证
CT 日志中的可见性公开该域名只公开 *.example.com公开全部域名公开全部条目
适用场景单一站点子域名多、变化快多品牌、多站点多主域名且子域名多

通配符证书选 DV 还是 OV？

通配符证书只有 DV 与 OV 两种验证级别。只需加密时选 DV 通配符，签发最快、价格最低；需要在证书中展示企业身份时选 OV 通配符；需要 EV 的核心域名只能另外使用 EV 单域名或多域名证书。下表为三种验证级别的完整对比：

DV、OV、EV 证书对比
对比项DV 证书OV 证书EV 证书
验证内容域名控制权域名控制权 + 组织真实性域名控制权 + 严格组织审核
审核依据CA/B 论坛基线要求CA/B 论坛基线要求CA/B 论坛 EV 指南
申请主体个人或组织依法登记的组织依法登记且正常经营的组织
证书中的身份信息仅域名组织名称、城市、省份、国家组织名称、注册号、注册地、组织类别等
证书策略 OID2.23.140.1.2.12.23.140.1.2.22.23.140.1.1
典型签发时间最快数分钟通常 1–3 个工作日通常 3–7 个工作日
加密强度相同相同相同
地址栏显示仅显示 HTTPS 安全标识同 DV，组织名称在证书详情中查看同 DV，2019 年起不再显示绿色企业名称
通配符支持支持不支持
公网 IP 地址部分产品支持部分产品支持不支持
组织信息复用期不适用398 天398 天
适用场景个人网站、博客、测试环境、API企业官网、电商、业务系统金融、支付、大型电商、易被仿冒的品牌
Validity

2026–2029 有效期新规对通配符证书的影响

CA/浏览器论坛 SC-081 决议（2025 年 4 月通过）分阶段缩短 SSL/TLS 证书有效期与验证结果复用期；此前（2020 年 9 月 1 日起）单张证书最长 398 天。

SSL 证书有效期与验证复用期新规（CA/B 论坛 SC-081）
生效日期单张证书最长有效期域名验证结果复用期组织身份信息复用期（OV / EV）
2026 年 3 月 15 日起200 天200 天398 天
2027 年 3 月 15 日起100 天100 天398 天
2029 年 3 月 15 日起47 天10 天398 天

对通配符证书意味着什么？

  • DNS 验证必须自动化：通配符证书只能用 DNS（或部分 CA 的邮箱）验证，域名验证复用期最终缩短到 10 天，几乎每次重签都要更新 DNS 记录，DNS API 成为刚需。
  • 批量部署压力更大：一张通配符证书往往部署在数十台服务器与多个 CDN 上，2029 年起每 47 天以内就要全部替换一次，手动分发不再可行。
  • 私钥轮换的好时机：重签频率提高后，每次重签都生成新私钥，可以显著缩短泄露私钥的可用时间。
  • 多年期订单仍然有效：CA 在订单期内多次重新签发证书，EncryptionSign 在服务期内自动重新验证、重签并部署到所有服务器，购买一年或多年服务可减少续费操作。
FAQ

通配符证书常见问题

关于通配符证书的覆盖范围、验证方式、安全风险与选购，用户最常问的问题。

*.example.com 能保护 example.com 吗？

通配符本身不匹配不带前缀的主域名，*.example.com 在规则上并不覆盖 example.com。不过多数品牌会在通配符证书的 SAN 中免费附带主域名 example.com，因此通常可以同时保护。具体以所选产品的说明为准，下单时可在控制台确认证书将包含的域名。

通配符证书能保护二级子域名（a.b.example.com）吗？

不能。*.example.com 只匹配一级子域名，例如 shop.example.com，不匹配 a.shop.example.com。需要保护二级子域名时，可以单独申请 *.shop.example.com，或使用在一张证书中同时包含 *.example.com 与 *.shop.example.com 的多域名通配符证书。

为什么通配符证书不能使用 HTTP 文件验证？

HTTP 文件验证只能证明对某一个具体主机名的控制权，而通配符证书覆盖的是整个子域名空间。CA/浏览器论坛基线要求规定 HTTP 文件方式（包括 ACME http-01）不能用于验证通配符域名，因此通配符证书必须通过 DNS 记录验证，部分 CA 也接受域名管理邮箱验证。EncryptionSign 可以通过 DNS API 自动完成这一步。

有 EV 级别的通配符证书吗？

没有。根据 CA/浏览器论坛 EV 指南，EV 证书不能包含通配符域名。需要在证书中展示企业身份并覆盖大量子域名时，可以选择 OV 通配符证书；需要 EV 的核心域名可以另外使用 EV 多域名证书。

通配符证书可以部署在多台服务器上吗？有什么风险？

可以，多数品牌不限制服务器数量。但同一把私钥复制到多台服务器后，任何一台被入侵都会导致整个主域名下所有子域名可被冒充，吊销时也会影响全部业务。建议按安全边界拆分证书、在负载均衡或网关集中终止 TLS、严格限制私钥访问，并在有效期缩短后每次重签都更换私钥。

通配符证书和多域名证书怎么选？

要保护的是同一主域名下数量多、经常变化的子域名，选通配符证书；要保护的是多个不同的主域名（如 example.com 与 example.net），或需要 EV 级别，选多域名证书。两种需求都有时，可以选择多域名通配符证书。

通配符证书支持多少个子域名？

一级子域名数量不限。*.example.com 可以覆盖任意数量的 xxx.example.com，新增子域名无需重新申请或重签证书，直接部署同一张证书即可。

通配符证书可以用于内网服务吗？

可以，前提是内网服务使用公网注册域名的子域名（如 git.example.com），即使这些子域名只在内网解析，也能用 *.example.com 证书保护，因为验证在公网 DNS 上完成。纯内网域名（如 .local、.lan）与私有 IP 自 2015 年起不能出现在公共信任证书中。

通配符证书有效期多久？

与其他 SSL 证书相同：2026 年 3 月 15 日起单张证书最长 200 天，2027 年 3 月 15 日起为 100 天，2029 年 3 月 15 日起为 47 天。购买一年或多年服务后，EncryptionSign 在服务期内通过 DNS API 自动重新验证、重签，并把新证书部署到所有使用它的服务器。

通配符证书多少钱？

通配符证书的价格取决于品牌、验证级别（DV 或 OV）与购买年限，通常高于同级别单域名证书，但在子域名较多时总成本更低。登录 EncryptionSign 控制台的“证书价格”页面可查看各品牌通配符证书的实时一年期价格，企业客户可申请专属价。

参考资料与更新说明

本文由 EncryptionSign 证书技术团队依据以下公开标准与资料整理，最后更新于 。CA 产品名称、验证规则与行业政策可能调整，请以 CA 官方与 CA/浏览器论坛最新发布为准；如需确认，请联系 support@encryptionsign.com。

  1. CA/浏览器论坛（CA/Browser Forum）：TLS 证书基线要求（Baseline Requirements）、EV 指南与 SC-081 有效期决议
  2. RFC 9525：TLS 中的服务身份验证（取代 RFC 6125，规定通配符匹配规则）
  3. RFC 8555：自动证书管理环境（ACME）
  4. RFC 8659：DNS 证书颁发机构授权（CAA）资源记录
  5. 美国国家安全局（NSA）：Avoid Dangers of Wildcard TLS Certificates and the ALPACA Technique（2021）
  6. 证书透明度日志查询（crt.sh），可监控域名下签发的全部证书

立即申请通配符证书

注册即可在线申请通配符证书，DNS 自动验证，签发后批量部署、到期自动续期。

免费注册 咨询专家