查看 SAN
查看 SAN
openssl x509 -in cert.pem -noout -ext subjectAltName
# 例: DNS:example.com, DNS:*.example.com, DNS:api.example.org| 通配范围 | *.example.com 匹配 a.example.com，不匹配 a.b.example.com 与 example.com |
|---|---|
| 多域名 | SAN 列出多个域名/通配符，浏览器均认可 |
| 签发影响 | SAN 有硬上限（常见 100 个），且任一域名失控都影响换证 |
通配证书泄露一个子域的密钥管理权就影响全部子域；高风险系统建议按域名签发。