通配符证书的匹配规则

通配符证书（*.example.com）只覆盖同一级子域：匹配 a.example.com 与 b.example.com，不匹配 example.com 本身，也不匹配 a.b.example.com；SAN 中可与普通域名混列。

覆盖范围	仅单层标签：*.example.com 匹配 www.example.com
不覆盖	裸域 example.com 与多级子域 a.b.example.com
申请要求	部分 CA 对通配符要求 DNS 验证或更严的核验
运维提示	该证书泄露影响全部子域，私钥保护与暴露面控制更重要

查看 SAN 中的通配符

openssl x509 -in wildcard.crt -noout -ext subjectAltName

把裸域也加入同一张证书的 SAN（DNS:example.com）是常见做法，否则访问根域名会报名称不匹配。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌