以为一个通配符能管所有

买证书时看到「通配符」三个字，我以为 *.example.com 能覆盖这个域名下的所有东西。

上线后后台用 api.dev.example.com，浏览器直接报错。才明白通配符只走一级。那次上线前，我只测了主域。

只覆盖一级

*.example.com 匹配的是 a.example.com、www.example.com 这一类，星号只吃一段。

api.dev.example.com 有两段，不在覆盖范围里。星号不能匹配点号，这是理解通配符的关键。

这是证书标准的规则，不是服务商偷工减料。

SSL 检测：证书有效期、证书链与 TLS 信息

SSL 检测：证书有效期、证书链与 TLS 信息

裸域是另一回事

*.example.com 不包含 example.com 本身。

用户直接输入裸域，仍然会报域名不匹配，除非证书的 SAN 里单独写了 example.com。很多人把裸域和 www 当成一个东西，其实在证书眼里是两个名字。

买通配符时，很多服务商会把裸域一起加进 SAN，但这不是默认规则，要自己确认。

怎么核对

用宝塔拨测的 SSL 检测填你要用的那个完整主机名，看结果里的覆盖域名列表。

把你实际会用到的名字逐个列出来，一个个对：主域、www、带环境的子域、管理后台域名。SAN 列表可能很长，找的时候别漏。申请时把未来半年会用的名字一次写全，省得反复签。

对完就知道差哪几个。差一个，那个入口就会报错。

多级子域怎么办

两种做法。给二级通配符单独签一张，比如 *.dev.example.com，需要对应层级的 DNS 验证权限。

或者用 SAN 列表把具体名字写进去，数量少的时候更省事。多级通配符不是一张证书包所有层级，规划比补救便宜。

通配符用得越多，权限越集中，密钥泄露的影响也越大，这是要权衡的。

复测和边界

新证书上线后，从多个地区节点各测一次，确认每个真实主机名都能拿到正确证书。有些 CDN 会替换证书，测之前确认拿到的不是边缘证书。上线当天就测，别等用户报错。

老客户端对新签发的证书可能有信任延迟，这种情况少见，但值得知道。证书链完整性和域名匹配是两回事，都要看。内部域名如果只在局域网用，不一定要公网证书，用错类型不如用对的自签。

证书覆盖的是名字，不是服务。名字对了，服务还得单独验。证书只是入口，配置对了才有效，别把它当成安全本身。