泛域名证书和多域名证书怎么选？按站点结构来，别多花冤枉钱

做站年头久了，域名难免越攒越多，尤其是那种一个主站下面挂一串子域名的情况：今天开个论坛，明天起个商城，后天又给新项目做个独立入口，等到该上HTTPS的时候才回过神，证书一张一张买，钱包实在扛不住。后台隔三差五就有兄弟来问，泛域名证书和多域名证书到底有啥区别，免费证书能不能一口气全包了。今天咱就把这两张证书掰开揉碎聊透，你照着自家站点结构一对号，选谁不选谁，心里立刻就有数了。

一、泛域名证书是什么？一张证书罩住一串子域名

泛域名证书，行话叫通配符证书，英文对应Wildcard Certificate，最神的地方在于，一张证书能把某个主域名下面同一层的所有子域名全罩住。打个比方，你的主域名是aoshan点com，买一张泛域名证书，证书上的域名写成星号点aoshan点com，那么www点aoshan点com、blog点aoshan点com、shop点aoshan点com，只要在这一层、前缀随便换的子域名，统统都吃这一张证书，装一次，满盘皆活。老站长常说的通配符三个字，指的就是证书里那个星号，等于把子域名那一截留成了一张万能牌，谁来都刷得开，这也是泛域名证书比单域名证书值钱的地方。

二、泛域名证书到底能保护哪些子域名

这里得先泼一盆冷水，通配符只管一层子域名，管不了更深的多级子域名。星号点aoshan点com这张证书，能护住blog点aoshan点com，也能护住shop点aoshan点com，可要是哪天冒出个news点blog点aoshan点com这样的二级子域名，证书直接就傻眼，浏览器照旧给你挂上大红叉。还有一点最容易忽略，泛域名证书未必包含裸域名，也就是aoshan点com本身，不少厂商的泛域名套餐默认不带主域名这一项，要么加钱另配，要么直接选带裸域名的高级版。所以记住一句话，子域名再多，只要都在同一层，一张通配符就够用，可一旦层级加深，就得考虑多级泛域名，或者干脆把子域名结构理顺，别等证书买回来才发现罩不住。

三、多域名SAN证书是什么？哪些场景用得上

多域名证书，技术圈叫SAN证书，特点正好和泛域名反过来，一张证书上可以同时写好几个互不相干的域名。你手里要是有企业官网、电商站、英文站各一个，三个域名谁也不挨着谁，泛域名证书就管不了，因为泛域名只认同一个主域名下面的子域名，而SAN证书能把三个八竿子打不着的域名全部装进一张证书里。它最典型的适用场景有三类：第一，公司旗下好几个独立品牌域名，各做各的站，合在一起买最省钱；第二，做项目建站的兄弟，今天给客户交付一个站，明天又上线一个站，域名往证书里一个一个加就行，续期只管一次；第三，老站换新域名的过渡期，新旧域名先共存两三个月，挂同一张证书，用户敲哪个都带小锁，等流量迁完了再把旧域名精简掉。

四、泛域名证书和多域名证书，价格差在哪

聊钱以前先记一句话，证书不是按网站数量收费，而是按域名个数收费，所以怎么买划算，完全取决于你的域名长什么样。单域名证书最便宜，一年几十块到一百多块封顶，适合只有一两个站的兄弟。多域名证书按包含的域名个数定价，你买五个域名的额度，通常比五个单域名各买一张便宜不少，往后要加域名，找厂商补个差价就成。泛域名证书的单价最高，一个主域名下面挂十个还是一百个子域名都是这个价，子域名再多也不加钱，属于一次投入、长期受益的买卖。所以别张嘴就问哪种便宜，先把自家域名摊开数清楚，结构不一样，最划算的答案就不一样。

五、免费证书能不能做泛域名？别抱太大指望

免费证书这个话题，几乎每个新手都要问一遍。老实说，主流的免费证书大多只签单域名，想多包几个域名，申请的时候得手写一长串，本质还是SAN那条路子。想做泛域名？绝大多数免费证书根本不给你签，个别能签的也卡得严，要求你去折腾域名解析的验证，还得会写脚本定时自动续期。更要命的是有效期，免费证书普遍只有九十天，三个月一到就得重来一轮，哪次忘了续期，整站直接给你红锁警告。个人博客、测试站、练手项目，用免费证书无可厚非，可你要是做正经生意，涉及收款和客户资料，泛域名或者多域名的商业证书这笔钱还是别省，省下的那点差价，不够你半夜爬起来处理证书告警的心力。

六、按站点结构选，照着这几种对号入座

说到正题了，直接对号入座。第一种，一个主域名下面挂着一大串功能子域名，论坛、下载、图床、接口、管理后台全部分开部署，那没得说，直接上泛域名证书，一张全部罩住，以后每新开一个子域名，证书现成就能用，不用再掏一分钱。第二种，手上是三五个互相独立的品牌域名，每个域名下面的子域名又不多，那就选多域名证书，一张卡收好几张牌，续期也只管这一次。第三种，域名就一两个，内容也简单，单域名证书甚至免费证书都能对付。最怕的是没规划，子域名一大把，却一张一张地买单域名证书，到期时间各不相同，今天换这张，明天换那张，光记到期日就能把你折腾够呛。

七、证书配好之后，这几件事千万别忘

证书装上不等于万事大吉，后面这几件事一定记牢。头一件，泛域名证书的私钥全站只有一份，一旦泄露，等于把旗下所有子域名一起交出去，私钥文件的权限要收严，绝不能传到公开的代码仓库里。第二件，确认清楚证书到底含不含裸域名，不含就单独补一张，别让用户敲主域名的时候看到不安全提示。第三件，到期提醒提前一个月设好，有点追求的站长都在搞自动续期，纯靠手动记日子，迟早要漏。第四件，多域名证书每次续期之前，把域名清单从头到尾对一遍，该加的加，该删的删，别续完才发现有个网站没被罩住。最后再啰嗦一句，泛域名证书覆盖的子域名多了，哪个子域名彻底不用了，记得把解析也一并清掉，免得被有心人盯上。

说到底，泛域名证书和多域名证书没有谁高谁低，只有合不合适。子域名一窝蜂的，选泛域名，一劳永逸；品牌域名有好几个的，选SAN多域名证书，一个不落；站点少而精的，用单域名也不丢人；免费证书，就留给试水和练手。先把自家域名结构画成一张图，再对着钱包做决定，冤枉钱一分都花不着。要是真拿不准，把你那串域名丢给傲闪云的客服，咱帮你参谋到选对为止，安安心心把站做好。