SSL 证书是任何线上业务的必备安全手段，类型包括单域名 SSL、多域名 SSL、通配符 SSL 等，可保护主域名、子域名及多级域名。本文聚焦子域名，以及保护子域名所需的 SSL 证书。

什么是子域名

子域名是主域名的一部分，结构包含一级子域名、主/基域名与 TLD。子域名常用于特定分类、活动或分组，如 blog、image、payment、service、product 等，易于识别与记忆，例如 payment.example.com、offers.example.com 一目了然。

为何要为子域名配置 SSL

Google 支持 HTTPS：自 2014 年起 Google 倡导 HTTPS Everywhere，主流浏览器与操作系统均支持。若子域名仍运行在 HTTP 而非 HTTPS，浏览器会显示「Not Secure（不安全）」警告，损害访客信任，涉及产品或销售的子域名更会直接影响销量与利润。
数据安全：登录页、结算页、订阅页等会在服务器与浏览器间传输凭证与支付信息，明文传输易被截获滥用；启用 SSL 后信息以加密格式传输，无法被窥探。

能否用一张证书保护域名与子域名

若为每个子域名单独购买单域名 SSL，成本高且难以管理。理想方案是通配符 SSL 证书，可保护主域名下的所有一级子域名。在证书中使用星号（*）前缀（如 *.yoursite.com），即可覆盖 blog.yoursite.com、email.yoursite.com、any.yoursite.com 等无限一级子域名。要保护多级域名，多域名通配符 SSL 可同时保护多个主域名及其一级子域名。

常见场景

常规通配符：*.blog.site.com 可保护 mail.blog.site.com、payment.blog.site.com。多域名通配符：*.example1.com 保护 blog.example1.com、*.blog.example1.com 保护 tech.blog.example1.com、*.example2.com 保护 payment.example2.com。

子域名安全 FAQ

如何保护二级子域名？使用常规或多域名通配符证书。例如保护 site-1.blog.example.com，需为 *.blog.example.com 购买通配符证书，site-1.blog.example.com 即其一级子域名；多域名通配符中 blog.example.com 作为 SAN 出现。

可用通配符保护不同 TLD 吗？不同 TLD 即不同域名，应使用多域名 SSL 或多域名通配符证书（如 .com、.co.uk、.edu）。

通配符能保护 www 与非 www 版本吗？不需要；单域名 SSL 即可同时保护二者，通配符专为子域名安全设计。

通配符与 EV SSL 可组合吗？不可。通配符不逐个验证子域名、自动覆盖一级子域名，而 EV 需验证证书中每个域名；通配符仅有域名验证（DV）与组织验证（OV）两种。

可在多台服务器安装通配符吗？可以，通过简单的免费重新签发流程，将同一张通配符（常规或多域名）安装到多台服务器。

多域名 SSL 能保护子域名吗？若仅有 1–2 个子域名，可加入多域名 SSL 证书，也可选用通配符 SSL。

WordPress 站点可用通配符吗？可以，通配符 SSL 能保护 WordPress 站点域名及其子域名。

如何安装通配符 SSL？简述流程：在目标服务器创建 CSR → 提交 CSR 给服务商 → 完成配置与域名验证 → 从 CA 获取证书 → 在创建 CSR 的服务器上安装。

结语

子域名是网站的重要组成部分，能减轻站点负担并简化证书管理。通配符是保护子域名的高性价比方案；若你有一级子域名或未来计划新增子域名，通配符 SSL 是值得考虑的选型。具体品牌、验证等级与报价请以各证书服务商公布信息为准。