单域名证书、多域名证书和通配符证书对比：一张表搞清怎么选

有个运维同行跟我吐槽：公司有20多个子域名，他给每个子域名单独买了DV证书，一年光证书费花了小一万。后来才知道通配符证书一张就能全覆盖，几百块搞定。

SSL证书部署中，按域名覆盖范围划分，证书分三种：单域名证书、多域名证书（SAN/UCC）、通配符证书。选哪种，取决于你的域名架构。

三种证书覆盖范围解析

单域名证书：顾名思义，一张证书只保护一个域名。可以是主域名（example.com），也可以是子域名（www.example.com、mail.example.com），但每个证书只对应一个。如果你有5个子域名要加密，就得买5张证书。

多域名证书：一张证书可以同时保护多个不同域名。通过SAN（Subject Alternative Name）字段添加额外域名，通常支持2到250个域名。比如一张证书同时保护example.com、example.net、shop.com，只要这些域名都归你所有。新增域名时需要重新签发证书。

通配符证书：一张证书保护一个主域名及其所有子域名。格式为*.example.com，表示example.com下的所有子域名都受保护，无论你有多少个子域名。新增子域名时不需要重新签发证书，直接部署即可。

价格与管理成本对比

单域名证书最便宜，DV类型几十块一张。但如果子域名多，累积费用高，且每个证书独立管理，续签时要逐个操作。

多域名证书按域名数量阶梯定价。以DigiCert OV多域名为例，5个域名起步约1500元/年，每增加一个域名加几百块。管理集中度高，但新增域名需要重新签发。

通配符证书价格居中，OV通配符通常1000-3000元/年。最大优势是子域名数量无上限，新增子域名零成本扩展，运维负担最小。

不同场景的选择建议

场景一：只有一个主域名加一个www子域名。买一张单域名证书覆盖主域名或www即可，最经济。

场景二：多个不相关的域名需要保护。比如公司同时运营example.com和shop.net，选多域名证书，一张搞定，管理方便。

场景三：一个主域名下有大量子域名。比如www、mail、api、admin、cdn、img、app等，选通配符证书最划算。即使现在只有3个子域名，未来可能扩展，也建议直接上通配符。

场景四：既有多个主域名，每个主域名下又有子域名。这种复杂架构可以组合使用——给每个主域名配通配符证书，再用多域名证书覆盖跨域需求。或者直接买一张多通配符证书（部分品牌支持），覆盖多个*.example.com格式。

踩坑提示：通配符证书只覆盖一级子域名，不覆盖二级。*.example.com保护www.example.com，但不保护api.v2.example.com。如果你的架构有二级子域名，要么单独买证书，要么用多域名通配符方案。

SSL证书部署前先画一张域名架构图，数清楚要保护的域名和子域名数量，再决定证书类型。别拍脑袋买，也别一个域名一张证书地堆。