免费通配符证书怎么申请才靠谱

前几天帮一个刚做站的学弟处理证书问题，他上来就问，想要个免费通配符证书覆盖所有子域名，在哪申请靠谱啊？不会有什么坑吧？其实我自己早年做站的时候也踩过免费证书的坑，今天就随便唠唠，说点实在的，不整那些官方套话。

免费通配符证书适合哪些场景

先给刚入门的朋友捋捋，不是所有站点都需要用通配符证书的。如果你只是一个单域名站点，那直接申请个普通的免费单域名证书就够了，不用强求通配符，多此一举不说，还没必要折腾。那什么时候需要呢？比如你一个主域名下开了好多个二级子域名，比如博客是blog.xxx.com，商城是shop.xxx.com，还有论坛bbs.xxx.com，这种情况下，你一个个给子域名申请证书太麻烦了，一张免费通配符证书就能覆盖所有的*.xxx.com子域名，省事又省心，这才是它真正的用武之地。

正规免费申请渠道有哪些

目前圈内用得最多的，肯定是Let’s Encrypt，这家CA是老牌的非盈利组织，发的证书所有主流浏览器都信任，完全免费，而且支持通配符，现在几乎所有的服务器面板、域名服务商都直接集成了它的申请通道，点几下就完事。还有ZeroSSL，也是目前比较火的，每个账号每个月能免费申请一张通配符证书，也是靠谱的。还有一些国内的正规CA也会推出少量的免费通配符额度，具体有没有，大家可以去各自的官方网站看，具体的规则以服务商或官方页面说明为准。

这里要提个醒，千万不要去那种不知名的小网站下载所谓的免费通配符证书，更不要找那种个人卖的免费证书，证书是管你网站加密的，来路不正的话，轻则浏览器提示不安全，重则被人劫持流量，那哭都没地方哭，一分钱不花也要选正规渠道，这个底线不能破。

申请时要留心哪些坑

第一个坑就是域名验证的问题。现在申请免费通配符证书，都需要验证你对这个域名的所有权，一般有DNS验证和HTTP验证两种方式，推荐大家选DNS验证，成功率高，而且后续续期也稳定，HTTP验证有时候会因为服务器配置的问题验证失败，新手容易卡在这里折腾半天。

第二个坑就是有效期的问题。几乎所有免费的通配符证书有效期都是90天，也就是三个月，所以一定要确认你用的申请工具支持自动续期，现在像宝塔、云面板这些主流工具，申请完之后都会自动帮你续期，根本不用你手动管，我自己用了五六年，从来没因为证书过期出过问题，如果你申请的证书不能自动续期，那你就得记着三个月手动换一次，忘了的话网站直接变不安全提示，得不偿失。

第三个坑就是层级限制，有些CA发的免费通配符证书只能覆盖一级子域名，也就是*.example.com，没法覆盖多级子域名，比如*.blog.example.com，如果你刚好需要覆盖多级子域名，申请的时候一定要看清楚说明，别申请完了才发现用不了，白忙活半天。

怎么判断证书是不是靠谱

其实判断标准很简单，第一条就是看是不是被主流浏览器信任，比如Chrome、Firefox、Safari这些主流浏览器认不认，大机构发的证书肯定都没问题，不知名小CA就说不定了。第二条就是看有没有隐藏条款，比如有些免费证书要求你必须在网站底部挂他们的广告，或者限制不能用于商业用途，这些申请的时候一定要看清楚用户协议，别稀里糊涂就同意了，最后证书被吊销都不知道为啥。第三条就是看证书链完整不完整，有些新手申请完证书，只传了证书文件，没补全证书链，结果导致一些老版本浏览器打不开网站，提示不安全，现在集成工具都会自动处理好证书链，手动申请的话记得把CA给的完整证书链都传上去。

我自己早年就踩过这个坑，那时候刚做站，贪新鲜找了个小CA申请免费通配符，结果用了不到一个月，那个CA直接被根证书吊销资格了，我那阵子忙项目忘了看网站，等我发现的时候，已经整整一周网站都显示不安全，掉了好多流量不说，老访客都不敢来了，那叫一个闹心，所以说啊，免费不是不能用，但一定要选大机构的，别给自己找不痛快。

还有朋友问，手动申请难不难？其实现在真的不难，只要你的域名在主流注册商，服务器用的是常见面板，基本都是一键申请，点几下鼠标，等着验证通过就好了，比你装个手机APP还简单。就算你要手动用acme.sh脚本申请，网上教程一搜一大把，跟着一步一步走也错不了，就是适合喜欢折腾的朋友，普通用户真没必要折腾手动流程。

其实说白了，免费通配符证书和付费的同类型证书，在加密强度和安全性上没有本质区别，只是付费的给你提供售后服务，有效期更长而已，对于个人站长、小站点来说，免费的完全够用，省下几百上千的证书费，加个服务器带宽它不香吗？

最后再啰嗦一句，申请的时候只要认准正规大机构，选对验证方式，开了自动续期，基本就不会出什么问题，不用听网上那些人说免费的都不靠谱，那都是老黄历了，现在行业发展这么成熟，正规机构的免费证书完全能用，放心申请就好。