单域名和泛域名 SSL 证书怎么选？

官网用 www.example.com，接口用 api.example.com，管理后台用 admin.example.com，这些域名能不能共用一张证书？选单域名还是泛域名，主要看要使用哪些域名，以及以后会不会继续增加子域名。

只有一个官网，单域名通常就够了

如果网站只有 example.com 和 www.example.com 这两个地址，可以先看单域名 SSL 证书。NestSSL 当前的单域名产品支持申请域名与 www 配对域名，给这类官网使用比较合适。

但 api.example.com 是另一个子域名，不能直接使用为 example.com 申请的普通单域名证书。只有一个接口域名需要 HTTPS 时，也可以单独为 api.example.com 申请。

服务器的数量不决定要买几种域名证书。同一个域名部署在多台服务器上，仍然是同一个证书名称；一台服务器上放了几个不同域名的网站，则需要分别确认每个域名有没有对应的证书。

同一个主域名下有多个网站，可以考虑泛域名

泛域名证书也叫通配符证书。例如，申请 *.example.com 后，可以用在 www.example.com、api.example.com、admin.example.com 等同一级子域名上。以后再增加同一级的 static.example.com，也在这个通配符的匹配范围内。

如果官网、接口和后台都由自己维护，使用泛域名 SSL 证书可以减少分别申请证书的工作。不过，各个站点仍需安装证书；使用阿里云 CDN、腾讯云 CDN 等服务的域名，也要在相应产品中配置 HTTPS。

泛域名也有用不了的情况

容易弄错的是域名层级。以 *.example.com 为例：

如果要给 test.api.example.com 及其同级域名使用，需要考虑 *.api.example.com；只有这一个地址时，也可以单独申请单域名证书。

还有不带 www 的 example.com。星号本身不匹配这个地址，证书中需要另列该域名。如果主域名也要用，下单前请向客服确认当前产品是否一并包含，不要只凭“泛域名”三个字判断。签发后可以在证书的“使用者可选名称（SAN）”中查看包含的域名。

NestSSL 当前提供 DV 单域名和泛域名产品，不能把几个不同的主域名任意合并到一张证书中。

分别管理的网站，不一定适合共用

假如官网由公司自己维护，某个子系统交给外包团队，共用证书意味着还要把配套私钥交给对方。遇到这种情况，分别申请单域名证书往往更方便管理：谁负责哪个网站，就维护哪张证书。

同一个团队维护多个同级子域名时，泛域名更省事。比较费用时，可以按实际要用的域名数量算一下几张单域名证书的总价，再与泛域名价格比较。按目前的使用需要选择即可，不必为暂时用不到的域名多花钱。当前价格见证书产品。

买好证书后，还要完成验证和安装

在 NestSSL 付款后，先按订单页面填写域名和申请资料，再完成域名验证。

泛域名支持 DNS 或邮箱验证，不支持 HTTP 文件验证。如果 DNS 使用阿里云云解析 DNS 或腾讯云 DNSPod，可以按需配置授权并选择“DNS 自动验证”，由系统填写验证记录；其他解析服务可以选择手动 DNS。配置方法见DNS 自动验证。

选择邮箱验证时，需要能收到并点击证书机构发来的验证邮件。即使开启了自动换证，后续换证时仍需要完成邮件确认。

证书签发后，可下载到宝塔、Nginx 等环境中安装，也可以关联本站支持的云部署目标。保存关联后，当前证书需要点击“立即推送”；自动部署用于后续新签发的证书版本。具体操作见下载与安装和关联与推送。

购买多年套餐后，中间仍需要按规则换证，不能把套餐结束日期当成当前这张证书的到期日。这一点在单域名和泛域名产品上都一样，详见套餐与重签。

相关说明：腾讯云：泛域名 SSL 证书常见问题。