什么是通配符证书
泛域名证书又叫通配符证书（Wildcard Certificate），用 *.example.com 的形式表示：一张证书同时覆盖 example.com 本身以及它下面所有的「一级子域名」，比如 www.example.com、blog.example.com、api.example.com、shop.example.com，无需为每个子域名单独申请。
对个人站长来说，通配符证书的核心价值是「一次申请、全局覆盖」。假设你有十几个子域名，普通单域名证书需要申请十几张、管理十几份到期时间，而一张通配符证书就能全部搞定，省时也省心。
适用场景
- 一个主站配多个子域名（官网、博客、接口、静态资源分域名部署）；
- 需要为大量二级域名统一启用 HTTPS；
- 希望减少证书数量、降低续期与管理成本；
- 使用多租户或泛解析架构，子域名会动态增减。
如果你的子域名会动态增加，通配符证书尤其合适：新增一个二级子域名后无需再申请证书，直接复用即可。相比为每个子域名分别申请独立证书，一张通配符证书能把证书数量从多张降到 1 张，续期提醒与到期时间也只需盯一处。
关键限制：它只能覆盖一级子域名
通配符证书的星号只能匹配「一级」子域名，理解这一点能避免不少误会。看下面这张表：
| 域名 | 是否被 *.example.com 覆盖 | 说明 |
|---|---|---|
| example.com | 是 | 通配符证书通常也覆盖主域名本身 |
| www.example.com | 是 | 一级子域名，覆盖 |
| blog.example.com | 是 | 一级子域名，覆盖 |
| a.b.example.com | 否 | 多级子域名，不覆盖，需单独申请 |
| other-site.com | 否 | 完全不同的域名，无法覆盖 |
简单记：星号只吃「一层」。a.b.example.com 这种多级子域名需要额外的证书，或使用 SAN 多域名证书单独列出。
为什么通配符证书只能 DNS 验证
这是很多人第一次申请通配符时最困惑的地方。原因在于验证逻辑：CA 签发通配符证书前，必须确认你确实控制 *.example.com 可能指向的「全部」子域名。HTTP-01 验证只能证明你控制了「某一个」具体域名的网站目录，无法证明你控制了所有子域名；而 DNS-01 通过在域名解析里添加 _acme-challenge TXT 记录，证明的是你对「整个 example.com 域名」的解析控制权，因此能覆盖全部子域名。
所以：通配符证书只能使用 DNS-01 验证，这是 ACME 协议层面的硬性要求，不是某个工具的临时限制。DNS 验证的原理与各服务商配置，可参考 DNS 验证文档。
申请步骤
以图形化工具 ToSSL 为例，通配符证书的申请流程如下：
- 在申请页的主域名一栏输入 *.example.com（注意保留星号与点号）；
- 验证方式只能选择 DNS 验证，按提示配置 DNS 服务商 API（内置阿里云 DNS、DNSPod、Cloudflare 等），或选择手动添加 TXT 记录；
- 提交后工具自动为 _acme-challenge.example.com 添加 TXT 记录，CA 校验通过后签发；
- 证书签发后自动下载，在证书详情页查看文件路径并部署。
首次申请建议先用测试环境走一遍流程，确认无误后再用正式环境签发，避免触发速率限制。完整的分步说明可参考 快速开始。
申请成功后，续期会复用同一套 DNS 验证：工具再次自动添加 TXT 记录、完成校验并签发新证书，全程无需人工干预，这也是选择支持自动续期的工具最重要的原因之一。
部署与续期注意事项
- 部署一次、子域名通用：所有一级子域名共用同一套 fullchain.pem 与 privkey.pem，反向代理（nginx / Apache）中每个子域名站点都引用同一份证书即可；
- 私钥分发要谨慎：通配符证书私钥一旦泄露，所有子域名都会受影响，分发时务必走安全通道；
- 续期依赖 DNS 权限：自动续期会再次调用 DNS API 添加 TXT 记录，请保持 API 密钥有效、权限充足，否则续期会失败；
- 到期前提前续期：免费证书有效期 90 天，务必开启到期前自动续期，避免整站子域名同时断链。
常见问题
- 通配符证书能覆盖多级子域名吗？ 不能，只覆盖一级子域名，多级子域名需单独申请。
- 一定要有 DNS 服务商 API 吗？ 不一定，也可以选择手动添加 TXT 记录，只是每次续期都要手动操作，不如 API 自动验证省事。
- 主域名能和子域名一起覆盖吗？ 通常可以，一张 *.example.com 证书同时覆盖 example.com 与其一级子域名。
掌握通配符证书的覆盖范围与 DNS 验证要求，是顺利申请并长期维护它的关键。把「只覆盖一级子域名」和「必须 DNS 验证」这两条规则记牢，就能避开通配符证书申请与续期中的绝大多数坑。DNS 验证的更多细节与排查方法，可进一步阅读 DNS 验证教程。