| 匹配 | a.example.com 匹配 *.example.com |
|---|---|
| 不匹配 | a.b.example.com 与 example.com（除非 SAN 单独列出） |
| 策略权衡 | 通配符减少管理成本，但影响面随子域数量扩大 |
核对覆盖范围并验证
核对覆盖范围并验证
openssl x509 -in wildcard.pem -noout -text | grep -A3 'Subject Alternative Name'
openssl verify -CAfile ca.pem -verify_hostname a.example.com wildcard.pem
openssl verify -CAfile ca.pem -verify_hostname a.b.example.com wildcard.pem通配符私钥泄露会影响其覆盖的全部子域，应配套更严格的私钥保护与更短的轮换周期。