二、关键限制：它不能保护什么？

这是最容易混淆的地方。通配符证书的保护范围是有限制的，它只能保护一层子域名。

继续用 *.example.com 这个例子：

• 它能保护： aaa.example.com

• 它不能保护： bbb.aaa.example.com (这是二级子域名)

可以把域名想象成一个家族树：

• example.com (祖父)

• *.example.com (所有直接的儿子，如www、shop、blog)

• *.xxx.example.com (所有的孙子，如 admin.shop.example.com)

通配符证书 *.example.com 只能保护到“儿子”这一辈，保护不了“孙子”辈。

如果你想保护多级子域名，你需要为每一级单独购买通配符证书。 例如，要保护 admin.shop.example.com，你需要一张针对 *.shop.example.com 的通配符证书。

三、通配符证书与单域名证书、多域名证书的区别

为了让你有更清晰的认识，我们简单对比一下三种常见的证书类型：

1.单域名证书

• 保护对象：一个完整的域名。

  例子：一张证书只保护 www.example.com。如果你还有 shop.example.com，就需要再买一张。

• 适用场景：只有一个主要官网的企业或个人。

2.多域名证书

• 保护对象：多个完全不同的域名。

  例子：一张证书可以同时保护 example.com, example.net, company-site.com 等。它在证书内部有一个“域名列表”。

• 适用场景：拥有多个完全不同主域名的企业。

3.通配符证书

• 保护对象：一个主域名及其所有同级子域名。

  例子：*.example.com 保护所有直接子域名。

• 适用场景：拥有大量子域名或子域名会动态增加的企业，如云服务平台、大型电商平台、拥有博客、论坛、邮箱系统等多种服务的公司。

四、总结：如何选择？

现在，我们可以回答标题的问题了：

通配符证书能给一个主域名下的、所有同级子域名使用，数量上没有限制。但它不能跨主域名，也不能保护多级子域名。

在选择时，请记住这个决策逻辑：

• 如果你只有一个主域名，但有多个或未来会有多个子域名（如www、shop、api等） -> 强烈推荐通配符证书，一劳永逸，管理和成本上都更优。

• 如果你只有一两个固定的子域名 -> 购买单域名证书可能更经济。

• 如果你有几个完全不同的主域名需要保护 -> 多域名证书是你的最佳选择。