# 通配符证书和多域名证书怎么选？规则、价格与坑

> 通配符证书覆盖一个域名下所有一级子域名，多域名（SAN）证书只覆盖列出的名称、可跨域名。两者的匹配规则、价格，以及安全与隐私上的取舍。

Source: https://ssl.sh/zh/compare/wildcard-vs-multi-domain/
Last updated: 2026-11-10

同一个域名下需要很多子域名、或者子域名经常增减，选**通配符证书**：`*.example.com` 覆盖 `www`、`shop`、`api` 等所有一级子域名。名称固定、尤其是跨了不同域名（比如 `example.com` 和 `example.net`），或者需要 EV，选多域名（SAN）证书。名称只有几个时多域名通常更便宜，子域名一多就是通配符划算。

价格均于 2026 年 11 月 10 日在卖家官网核实，价格经常变，一切以商家结账页为准；推荐结论不受佣金影响。

## 两种证书对照

| | 通配符（`*.example.com`） | 多域名（SAN/UCC） |
|---|---|---|
| 匹配范围 | 一个域名下任意一级子域名 | 只匹配列出的名称 |
| 跨不同注册域名 | 不能 | 能 |
| 多级子域名（`a.b.example.com`） | 不能 | 能，只要写进去 |
| 以后新增子域名 | 自动覆盖 | 要重签加上新名称 |
| 验证级别 | DV、OV | DV、OV、EV |
| CT 日志里能看到的名称 | 只有 `*.example.com` | 列出的每个名称 |
| 付费 DV 最低价（1 年） | $84.00 | $35.99（含 3 个域名） |
| 能否用 ACME 免费申请 | 能，只能用 DNS-01 | 能 |

## 通配符怎么匹配

通配符只匹配一级子域名，不匹配主域名，也不匹配多级子域名。它的写法是把最左边一整段换成星号。按 [RFC 9525](https://www.rfc-editor.org/rfc/rfc9525) 的规则，星号只匹配一段标签：`*.example.com` 匹配 `shop.example.com`，但不匹配 `example.com`，也不匹配 `v2.api.example.com`。还要覆盖第二级的话，就得再加一个 `*.api.example.com`。付费通配符产品一般会顺带写上主域名；用 ACME 申请时可以在一次订单里同时写 `example.com` 和 `*.example.com`。

Let's Encrypt 等 ACME CA 可以免费签发通配符证书，但只能用 DNS-01 验证，所以 DNS 服务商要有 API，否则每次续期都得手动加 TXT 记录。acme.sh 内置了 DNSPod、阿里云 DNS、Cloudflare 等服务商的 API 插件，宝塔面板也支持添加 DNS 服务商的 API 密钥自动验证，见 [acme.sh DNS API 申请通配符教程](https://ssl.sh/zh/guides/acme-sh-dns-api-wildcard/)。

## 多域名证书怎么工作

多域名证书把每个主机名写进 [RFC 5280](https://www.rfc-editor.org/rfc/rfc5280) 定义的“使用者可选名称”（SAN）扩展。这些名称可以属于完全不同的域名，每个名称都要单独通过域名控制权验证。付费产品的基础价含固定数量的名称，超出部分按个收费。增删名称都要重签，再把新证书部署到所有用到它的地方。

EV 证书不能是通配符。CA/浏览器论坛 EV 指南第 7.1.2.1 节禁止 SAN 扩展里出现通配符域名，只有 Onion 域名例外。所以多个主机名都要 EV，只能买多域名 EV 证书；我们核实到最便宜的是 Namecheap EV Multi-Domain SSL，含 3 个域名，$163.99。

## 两种形态各自的最低价

付费通配符最低 $84.00，付费 3 域名 SAN 证书最低 $35.99。

**通配符（1 年期）：**

- GoGetSSL 的 [Sectigo EssentialSSL Wildcard](https://ssl.sh/zh/certificates/essentialssl-wildcard/)：$84.00（DV），[去 GoGetSSL](https://ssl.sh/go/gogetssl/)。
- [Namecheap Standard Wildcard SSL](https://ssl.sh/zh/certificates/namecheap-standard-wildcard-ssl/)：首年 $89.99（DV），[去 Namecheap](https://ssl.sh/go/namecheap/)。
- [Namecheap OV Wildcard SSL](https://ssl.sh/zh/certificates/namecheap-ov-wildcard-ssl/)：首年 $185.99（OV）。

**多域名（1 年期）：**

- [Namecheap SAN Certificate](https://ssl.sh/zh/certificates/namecheap-san-certificate/)：含 3 个域名，$35.99（DV）。
- Trustico 的 [Sectigo PositiveSSL Multi-Domain](https://ssl.sh/zh/certificates/positivessl-multi-domain/)：1 个主域名加 2 个附加域名，$57.00（DV），[去 Trustico](https://ssl.sh/go/trustico/)。
- [Namecheap OV Multi-Domain SSL](https://ssl.sh/zh/certificates/namecheap-ov-multi-domain-ssl/)：含 3 个域名，$79.99（OV）。
- [Namecheap EV Multi-Domain SSL](https://ssl.sh/zh/certificates/namecheap-ev-multi-domain-ssl/)：含 3 个域名，$163.99（EV）。

粗算一下成本：3 个固定名称时，$35.99 的 SAN 证书还不到最便宜通配符的一半；同一域名下有 10 个子域名时，SAN 证书在基础价之外还要加 7 个名称，而 $84.00 的通配符一张全包，以后新增子域名也不用再付钱。具体的平衡点取决于各家的单个域名加价，写在各个证书页上。完整价格表见[最便宜的通配符证书](https://ssl.sh/zh/compare/cheapest-wildcard-ssl/)和[最便宜的多域名证书](https://ssl.sh/zh/compare/cheapest-multi-domain-ssl/)。

## 按场景选

按名称的变化方式选证书：

- **一个网站，带 www 和主域名：** 两种都不需要。一张写了这两个名称的普通证书就够，任何 ACME CA 都能免费签。
- **SaaS 平台或博客群，按需开子域名：** 通配符，新开的子域名立即可用，不用重签。
- **几个品牌域名放在同一台服务器或同一个负载均衡器后面：** 多域名。
- **子域名有多级：** 多域名，或者在一张多域名证书里写多个通配符名称。
- **多个主机名都要 EV：** 多域名 EV。
- **名称分属不同团队或客户：** 分开签证书，一方的私钥或续期出问题不会牵连别人。
- **只在内网使用的主机名：** 公网证书都会进 CT 日志，不想让内网主机名出现在公开日志里，可以考虑自建私有 CA 签发，见[用 OpenSSL 搭建私有 CA](https://ssl.sh/zh/cookbook/private-ca/)。

## 安全和隐私上的取舍

通配符证书的私钥通常会复制到每一台承载子域名的服务器上。其中任何一台被入侵，攻击者在你吊销重签之前都能冒充任意一级子域名。多域名证书也有共用私钥的问题，但影响只限于列出的名称。

隐私方面正好相反。Chrome 要求公网证书记录到证书透明度（CT）日志，多域名证书里的每个名称都是公开的，任何人用 [CT 查询](https://ssl.sh/zh/tools/ct-search/)都能搜到。通配符证书只暴露 `*.example.com`，具体有哪些子域名不会因为这张证书而公开。准备上线还不想公开的新业务子域名，用通配符更稳妥。

## 有效期和续期

两种证书的有效期上限一样：2026 年 3 月 15 日起公网 TLS 证书单张最长 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起 47 天。付费的“多年期”通配符或 SAN 证书都是订阅，期内要多次重签，每次重签都要更新所有用这张证书的服务器。共用一张证书的服务器越多，自动化就越重要，见[为 47 天证书做准备](https://ssl.sh/zh/guides/prepare-for-47-day-certificates/)。