假设我拥有 example.com，并且我购买了适用于 *.example.com 的通配符 SSL 证书。管理层现在希望创建“伴侣”网站来完善现有网站。因此，如果我有 foo.example.com 和 bar.example.com 他们可能还希望我创建 meow.foo.example.com和 woof.bar.example.com。
现有的通配符证书适用于子域网站，正如我们一直在做的那样。我刚刚了解到它不适用于子子域站点。是否可以为 *.*.example.com 创建通配符证书？
子子子域是否需要额外的通配符证书？所以如果你想保护 X 级别，你需要 X 证书吗？
免责声明：我花了一段时间研究这个问题，但是关于 SO 有很多看似相互矛盾的问题/答案，所以我对再次询问这个问题感到难过，但我不想经历购买的麻烦来找出答案后来我犯了一个错误。
【问题讨论】：
标签： ssl-certificate
虽然有些实现可能允许使用多个通配符，但实际上答案是不，不允许使用多个通配符。
RFC 6125 (section 6.4.3) 试图阐明共同的事实规则，并提炼到核心必须是这些规则有效的：
*，则执行文字匹配。 （非通配符）。.，则不匹配（无效的通配符）.，并从 dNSName 值中的第二个字符开始进行文字匹配。所以*.*.example.com 与a.b.example.com 不匹配，因为.*.example.com != .b.example.com。
当然，某些客户端可能以不同的方式实现其匹配逻辑。但是指望比这种解释更宽松的任何东西都会导致一些客户说它与您希望的不匹配。
（好吧，RFC 6125 第 6.4.3 节没有任何实际的 MUST；但如果您尊重 SHOULD NOT 并且不遵循 MAY，但确实支持通配符匹配，那么您最终会得到上述内容。）
【讨论】：
见https://security.stackexchange.com/a/10540/68042
您只需要为每个级别的子域提供单独的证书，名称：
理论上，在主题替代名称扩展中包含所有这些条目的单个证书可以，但在某些情况下可能不起作用。单独的证书更安全。
要使用单个证书（对于 *.example.com），您可以使用名称 meow-foo.example.com 而不是 meow.foo.example.com
【讨论】：
..example.com 和 ..*.example.com 是否有效？我是否能够以这种方式配置子域的所有子域而不必定义每个子域？
您可以选择多域通配符 SSL 证书，它将保护您的子子域。它可以在通配符下方保护
- *.mydomain.tld
- *.sub1.mydomain.tld
- *.sub2.mydomain.tld
- *.anydomain.com
【讨论】：