换上通配符域名证书，还是有几个子域名打不开

主站的小锁是绿的，切到 shop 那个子域名，浏览器立刻翻脸，提示证书无效。装的是通配符域名证书，按理说这个域下面的一级子域都该被管住，可偏偏有两三个不听话。这种场面我见过不少回，毛病大多不在证书本身，而在那台机器压根没用上它。

通配符域名证书的覆盖范围，有个边界

先把这个说清楚：*.example.com 只匹配一级，也就是 shop.example.com、api.example.com 这一类。再往下的 a.b.example.com 不在覆盖范围里，通配符在那个位置就不通用了。顺便提一句，example.com 本身是另一个名字，有的证书顺手带上了根域，有的没带，买的时候看清楚，以 CA 或服务商的证书说明为准。所以几个子域打不开，先看它的形状——是不是多了一级。

还有个更常见的情况：子域不止一台机器。证书是文件，装在 A 主机上不等于 B 主机也有。那几个打不开的子域，很可能早就被指到另一台服务器，或者另一个 CDN 账号下面了，它当然没有这张证。

先分清是证书报错，还是根本连不上

浏览器给的提示差别很大。写着证书无效、证书过期、ERR_CERT_ 开头那一串，是证书层出了问题；要是连接超时、拒绝连接、ERR_CONNECTION_ 开头，那跟证书没什么关系，是 DNS 或者端口的事。分不清这两类，后面越查越乱，白折腾一晚上。

我习惯用一条命令先看实际情况：openssl s_client -connect shop.example.com:443 -servername shop.example.com，返回里那段 subject 就是服务器实际递出来的证书。要是域名不对、签发者不对，说明请求落到别的站点上去了，这台机器上装的那张证根本没被选中。

子域名没解析到这台主机，证书再好也白搭

dig 一下，或者直接翻 DNS 后台的 A 记录。有些人图省事，只给主域和几个老牌子域加了记录，后来新开的活动页、后台、文档站全忘了加。省心的做法是开泛解析，*.example.com 指向同一台机器，新子域加完立刻能用。泛解析没开，就只能一个一个补，漏一个就有一个打不开。

还有一层：子域指到了 CDN。这时候证书要传到 CDN 控制台去，源站装不装反而不影响访客看到的东西。你在源站折腾半天，回源那台机器的证书再正确，也管不到边缘节点上。

虚拟主机面板上的绑定，常常只绑了主域名

用虚拟主机的最容易踩这个。面板里一键部署 SSL，很多时候只作用于当前那个站点，新加的子域在面板里是另一个站点、另一个目录，证书文件路径都不一样，你得去子域对应的站点里再绑一次。各家主机商的操作界面都不一样，按钮叫什么、证书放哪个目录，以面板说明和服务商文档为准，别照着我说的路径硬套。

还有一种，面板给你部署的是主域的证书，子域走了别的域名绑定规则，请求进来落到默认站点，返回默认站点那张证。表现就是浏览器说证书域名不匹配——它没说错，它拿到的是张别的证。

证书链和 SNI，坑的多是老设备和个别浏览器

证书链不全是个老问题。中间证书没拼进去，Chrome 有时候不吭声，某些安卓机、部分抓取工具就直接报不受信任。别只看自己电脑上的浏览器，用两三种客户端试一下，或者找个在线的证书检查工具看链路是否完整。

SNI 现在基本都支持了，但同一台机器一个 IP 挂多个站点时，得靠它来选证书。很老的客户端不支持，它拿到的是默认站点那张，必然不匹配。碰到这种设备访问报错，先确认服务器是不是按 SNI 分发，再考虑换证的事。

端口、跳转和缓存，三个容易忽略的小地方

443 到底通不通，防火墙有没有拦。有的子域指向那台机器，只开了 80，你访问 https 就超时，看着像证书问题，其实是端口没开。还有跳转：nginx 里的 rewrite 或者 301 规则把用户从 https 往回踢，或者跳到另一个域名，链条一断，小锁也没了。

缓存这关更阴。之前用错误证书访问过，浏览器会记住一阵子，哪怕你已经修好，它还给你红脸。测的时候换个没用过的浏览器，或者清掉站点数据，别拿缓存的结论去改服务器配置。开了 HSTS 的站点更顽固，浏览器会直接拒绝走 http，配置改错一次，恢复起来要多花点时间。

通配符域名证书出问题时，我按这个顺序走

顺序其实不复杂。先看报错类型，证书类还是连接类；再看那几个子域的名字，是不是多了一级、落在覆盖范围之外；然后 dig 或者 ping 一下，确认解析落点在哪台机器、哪个 CDN；落点确认了，再登到那台机器看证书文件在不在、站点有没有绑定、证书链全不全；最后查端口和跳转规则，443 通不通、有没有被 301 踢走。中间任何一步发现不一致，问题就在那一层，不用往后猜。

所以那几个子域打不开，多半跟证书买得对不对没关系，跟“证书到底有没有被那台机器用在那个域名上”有关系。换证之前花十分钟把解析和绑定理一遍，往往比重新签发一张省事。真拿不准，就把 openssl 的输出和面板里的绑定截图丢给服务商，让他们帮着看一眼，比自己一个人瞎试快得多。