通配符SSL证书能保护所有子域名吗？怎么配置泛解析HTTPS

很多用户在部署网站 HTTPS 时会遇到子域名数量多、变动频繁的问题。这时候，通配符 SSL 证书就成为一种高效选择。但你是否清楚它到底能覆盖哪些子域名？又该如何正确配置泛解析与 HTTPS？

我们一起来看看通配符 SSL 证书的实际支持范围和部署方法。

通配符 SSL 证书支持的域名范围

通配符 SSL 证书（Wildcard SSL Certificate）使用 .example.com 这样的格式，其核心能力是保护一个主域名下的所有一级子域名。但要注意，它不支持跨级子域名。

• 支持的域名示例（以 .example.com 为例）：
  • www.example.com
  • mail.example.com
  • api.example.com
  • shop.example.com
• 不支持的域名示例：
  • dev.api.example.com（三级子域名）
  • test.dev.example.com（三级及以上）
  • example.net（不同主域名）

这意味着，如果你需要保护 .api.example.com 这类二级子域名，必须单独申请一张新的通配符证书，例如 .api.example.com。

通配符证书与泛解析的关系

“泛解析”是 DNS 层面的概念，指通过设置 .example.com 的 A 记录或 CNAME，将所有未明确指定的子域名指向某个 IP 或服务。而通配符 SSL 证书是 TLS/SSL 层面的加密机制。

两者可以配合使用，但泛解析本身不提供 HTTPS 加密，必须配合有效的 SSL 证书才能启用 HTTPS。

• 泛解析配置（DNS 示例）：
  • 记录类型：A
  • 主机记录：
  • 记录值：192.0.2.1
• 通配符 SSL 证书部署后，所有匹配 .example.com 的子域名访问 HTTPS 时将自动加密。

如何申请和部署通配符 SSL 证书

1. 准备 CSR（证书签名请求）
   在服务器上生成私钥和 CSR 文件。以 OpenSSL 为例：

   openssl req -new -newkey rsa:2048 -nodes -keyout example_com.key -out example_com.csr

   在填写 Common Name（CN）时，必须输入 .example.com。

2. 提交证书申请
   将 CSR 提交给证书颁发机构（CA），并选择通配符类型。验证方式通常包括：
   • DNS 验证：添加 TXT 记录
   • 文件验证：上传指定文件到网站根目录

   DNS 验证更适用于通配符证书，因为不需要每个子域名都部署验证文件。

3. 下载并安装证书
   审核通过后，下载证书文件（通常包括 .crt 和中间证书 .ca-bundle），然后根据 Web 服务器类型部署。

常见 Web 服务器配置示例

以下是 Nginx 和 Apache 的基本配置片段。

Nginx 配置

server {
    listen 443 ssl;
    server_name ~^..example.com$;

    ssl_certificate /path/to/example_com.crt;
    ssl_certificate_key /path/to/example_com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    location / {
        root /var/www/;
        index index.;
    }
}

Apache 配置

<VirtualHost :443>
    ServerName example.com
    ServerAlias .example.com

    SSLEngine on
    SSLCertificateFile "/path/to/example_com.crt"
    SSLCertificateKeyFile "/path/to/example_com.key"
    SSLCertificateChainFile "/path/to/example_com.ca-bundle"

    DocumentRoot "/var/www/"
</VirtualHost>

注意：Apache 需启用 mod_ssl 模块，并确保 ServerAlias 包含通配符。

通配符证书 vs 多域名证书对比

安全注意事项

• 私钥安全至关重要：通配符证书的私钥一旦泄露，所有子域名都可能被冒用。建议：
  • 限制私钥文件权限（如 chmod 600）
  • 不在多个服务器间共享同一私钥
  • 定期轮换证书（尤其在人员变动后）
• 避免在高敏感系统使用 DV 通配符证书：如涉及支付、用户隐私等场景，建议选择 OV 类型，以增强身份可信度。