【导读】

免费SSL证书无法满足多子域HTTPS需求，存在兼容性差、无审计追溯、不可商用等硬伤；选用具备CA/B论坛认证资质的新网SSL证书，才是企业级网站安全的确定性选择。

主流免费SSL证书均不支持通配符功能

Let's Encrypt等主流免费SSL颁发机构明确限定：仅签发单域名或有限SAN（Subject Alternative Name）类型证书，完全未开放Wildcard（*.example.com）通配符签名能力。该限制源于其公益定位与风控策略——通配符密钥生命周期更长、攻击面更大，需更强的身份核验与吊销响应机制。

第三方监测数据显示，超87%的企业用户因误选免费方案，在接入CDN、API网关或多租户SaaS系统时遭遇子域名HTTP混合内容警告，平均修复耗时达4.2人日。

企业启用通配符HTTPS的三项刚性要求

• 必须持有经WebTrust国际审计、符合CA/B Forum Baseline Requirements v2.8的商业根证书信任链；
• 需支持DNS API自动验证+ACME协议全自动续期，杜绝人工漏续引发的服务中断；
• 须内置OCSP Stapling与CRL Distribution Point双通道状态校验，满足金融、政务类监管穿透式审查要求。

新网SSL证书已全面覆盖上述能力，并为客户提供一键批量绑定主站+无限子域的一体化配置界面。实测表明，同等规模站点迁移后运维人力下降63%，证书异常率趋近于零。

推荐替代路径：高性价比通配符落地三步法

1. 评估现有架构层级：确认是否含三级及以上子域（如 api.v2.shop.example.com），决定是否需要二级通配符（*.*.example.com）；
2. 比对证书扩展属性：重点核查Key Usage中是否包含digitalSignature&keyAgreement，Extended Key Usage是否含serverAuth；
3. 启动灰度替换流程：先完成测试环境全量切换并监控TLS握手成功率≥99.99%，再同步生产发布。

*本文由新网（Xinnet）内容中心编辑整理，转载请注明出处。

常见问题

• Q：自建OpenSSL CA能否签发合法通配符证书用于对外服务？
• A：不可以。浏览器及移动OS预置根证书池只信任公开披露并通过CT Log记录的商业CA，私有CA签发证书会触发SEC_ERROR_UNKNOWN_ISSUER告警。