验证级别
通配符证书 vs 多域名证书
同一个域名下需要很多子域名、或者子域名经常增减，选通配符证书：*.example.com 覆盖 www、shop、api 等所有一级子域名。名称固定、尤其是跨了不同域名（比如 example.com 和 example.net），或者需要 EV，选多域名（SAN）证书。名称只有几个时多域名通常更便宜，子域名一多就是通配符划算。
价格均于 2026 年 11 月 10 日在卖家官网核实，价格经常变，一切以商家结账页为准；推荐结论不受佣金影响。
两种证书对照
通配符（*.example.com） |
多域名（SAN/UCC） | |
|---|---|---|
| 匹配范围 | 一个域名下任意一级子域名 | 只匹配列出的名称 |
| 跨不同注册域名 | 不能 | 能 |
多级子域名（a.b.example.com） |
不能 | 能，只要写进去 |
| 以后新增子域名 | 自动覆盖 | 要重签加上新名称 |
| 验证级别 | DV、OV | DV、OV、EV |
| CT 日志里能看到的名称 | 只有 *.example.com |
列出的每个名称 |
| 付费 DV 最低价（1 年） | $84.00 | $35.99（含 3 个域名） |
| 能否用 ACME 免费申请 | 能，只能用 DNS-01 | 能 |
通配符怎么匹配
通配符只匹配一级子域名，不匹配主域名，也不匹配多级子域名。它的写法是把最左边一整段换成星号。按 RFC 9525 的规则，星号只匹配一段标签：*.example.com 匹配 shop.example.com，但不匹配 example.com，也不匹配 v2.api.example.com。还要覆盖第二级的话，就得再加一个 *.api.example.com。付费通配符产品一般会顺带写上主域名；用 ACME 申请时可以在一次订单里同时写 example.com 和 *.example.com。
Let's Encrypt 等 ACME CA 可以免费签发通配符证书，但只能用 DNS-01 验证，所以 DNS 服务商要有 API，否则每次续期都得手动加 TXT 记录。acme.sh 内置了 DNSPod、阿里云 DNS、Cloudflare 等服务商的 API 插件，宝塔面板也支持添加 DNS 服务商的 API 密钥自动验证，见 acme.sh DNS API 申请通配符教程。
多域名证书怎么工作
多域名证书把每个主机名写进 RFC 5280 定义的“使用者可选名称”（SAN）扩展。这些名称可以属于完全不同的域名，每个名称都要单独通过域名控制权验证。付费产品的基础价含固定数量的名称，超出部分按个收费。增删名称都要重签，再把新证书部署到所有用到它的地方。
EV 证书不能是通配符。CA/浏览器论坛 EV 指南第 7.1.2.1 节禁止 SAN 扩展里出现通配符域名，只有 Onion 域名例外。所以多个主机名都要 EV，只能买多域名 EV 证书；我们核实到最便宜的是 Namecheap EV Multi-Domain SSL，含 3 个域名，$163.99。
两种形态各自的最低价
付费通配符最低 $84.00，付费 3 域名 SAN 证书最低 $35.99。
通配符（1 年期）：
- GoGetSSL 的 Sectigo EssentialSSL Wildcard：$84.00（DV），去 GoGetSSL。
- Namecheap Standard Wildcard SSL：首年 $89.99（DV），去 Namecheap。
- Namecheap OV Wildcard SSL：首年 $185.99（OV）。
多域名（1 年期）：
- Namecheap SAN Certificate：含 3 个域名，$35.99（DV）。
- Trustico 的 Sectigo PositiveSSL Multi-Domain：1 个主域名加 2 个附加域名，$57.00（DV），去 Trustico。
- Namecheap OV Multi-Domain SSL：含 3 个域名，$79.99（OV）。
- Namecheap EV Multi-Domain SSL：含 3 个域名，$163.99（EV）。
粗算一下成本：3 个固定名称时，$35.99 的 SAN 证书还不到最便宜通配符的一半；同一域名下有 10 个子域名时，SAN 证书在基础价之外还要加 7 个名称，而 $84.00 的通配符一张全包，以后新增子域名也不用再付钱。具体的平衡点取决于各家的单个域名加价，写在各个证书页上。完整价格表见最便宜的通配符证书和最便宜的多域名证书。
按场景选
按名称的变化方式选证书：
- 一个网站，带 www 和主域名： 两种都不需要。一张写了这两个名称的普通证书就够，任何 ACME CA 都能免费签。
- SaaS 平台或博客群，按需开子域名： 通配符，新开的子域名立即可用，不用重签。
- 几个品牌域名放在同一台服务器或同一个负载均衡器后面： 多域名。
- 子域名有多级： 多域名，或者在一张多域名证书里写多个通配符名称。
- 多个主机名都要 EV： 多域名 EV。
- 名称分属不同团队或客户： 分开签证书，一方的私钥或续期出问题不会牵连别人。
- 只在内网使用的主机名： 公网证书都会进 CT 日志，不想让内网主机名出现在公开日志里，可以考虑自建私有 CA 签发，见用 OpenSSL 搭建私有 CA。
安全和隐私上的取舍
通配符证书的私钥通常会复制到每一台承载子域名的服务器上。其中任何一台被入侵，攻击者在你吊销重签之前都能冒充任意一级子域名。多域名证书也有共用私钥的问题，但影响只限于列出的名称。
隐私方面正好相反。Chrome 要求公网证书记录到证书透明度（CT）日志，多域名证书里的每个名称都是公开的，任何人用 CT 查询都能搜到。通配符证书只暴露 *.example.com，具体有哪些子域名不会因为这张证书而公开。准备上线还不想公开的新业务子域名，用通配符更稳妥。
有效期和续期
两种证书的有效期上限一样：2026 年 3 月 15 日起公网 TLS 证书单张最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费的“多年期”通配符或 SAN 证书都是订阅，期内要多次重签，每次重签都要更新所有用这张证书的服务器。共用一张证书的服务器越多，自动化就越重要，见为 47 天证书做准备。
常见问题
通配符证书包含主域名 example.com 吗？
*.example.com 本身不匹配 example.com。大多数付费通配符证书会把主域名作为第二个名称一起写进去；用 ACME 申请时，同时写上两个名称即可。购买前看清产品页。
一张证书能既是通配符又是多域名吗？
能。SAN 扩展里可以同时放通配符名称和具体名称，比如 *.example.com 和 example.net。Let's Encrypt 等 ACME CA 可以免费签发这种证书；付费产品要看产品页是否接受通配符名称、怎么计价。
通配符证书比多域名证书更不安全吗？
加密强度完全一样。风险在运维上：通配符的私钥往往被复制到很多服务器上，私钥一旦泄露，攻击者可以冒充任意一级子域名，包括你还没启用的子域名。
哪个更便宜？
看你需要几个名称。2026 年 11 月 10 日，付费的 3 域名 SAN 证书最低 $35.99，付费 DV 通配符最低 $84.00。名称少而固定，多域名更便宜；同一域名下子域名多或经常变化，通配符通常更划算。
资料来源
本页含推广链接，你通过链接购买不会多付钱，我们可能获得佣金。 了解更多