问：我想在同一站点上保护根域名与 2 个子域名，朋友推荐通配符 SSL 证书。通配符 SSL 证书有缺点吗？

解答

这主要关乎价格与需求。通配符 SSL 证书提供的安全强度与单域名证书或 UCC 证书相同，市场上所有 SSL 证书均按 CA/Browser 论坛指南设计。

当你需要在同一（或不同）物理服务器上保护单个根域名下的多个子域名时，通配符 SSL 是最佳方案。凭借无限服务器许可特性，通配符 SSL 可复制或共享到所有子域名，无论它们托管在同一 IP 还是多个 IP。你无需管理一堆证书，仅需一张通配符 SSL 即可覆盖全部子域名。

通配符 SSL 与 IIS、Apache、Tomcat、Nginx 等服务器 100% 兼容，也被 Firefox、IE、Safari、Chrome 等所有浏览器信任，智能手机、平板与移动设备同样 100% 兼容。GlobalSign、Symantec（原 VeriSign）、Comodo、DigiCert、GoDaddy、GeoTrust 等各大证书颁发机构均提供通配符 SSL 证书。

如何选型

就安全机制而言，通配符 SSL 与单域名、多域名证书并无本质强弱之分。是否需要通配符，取决于你的子域名规模与部署架构：若子域名数量多且会动态增长，一张通配符证书能显著简化证书管理；若仅需保护少数固定子域名，也可将其加入多域名（UCC/SAN）证书。具体品牌与报价请以各证书服务商公布信息为准，建议结合实际验证等级（DV/OV）与服务器兼容性综合评估。