通配符证书和单域名证书有什么区别？网站到底该怎么选

网站上 HTTPS 证书种类很多，新手最容易纠结的就是：到底该买单域名证书，还是通配符证书？两者看起来都能让浏览器显示小锁，但适用场景、管理方式和成本差别并不小，选错了往往不是浪费钱，就是后期维护很麻烦。

先说单域名证书。它只能保护一个明确的域名，例如 www.example.com。如果你申请的是这个域名的证书，那么 api.example.com、img.example.com 并不会自动受到保护。单域名证书的优点是便宜、简单、签发快，特别适合只有一个主站，或者业务结构比较单纯的网站。

通配符证书则不一样。它一般保护的是 *.example.com 这种形式，意味着同一级的所有子域名都可以覆盖，比如 www.example.com、cdn.example.com、mail.example.com 都能共用一张证书。这对有多个子站点、多个业务入口，或者经常新增二级域名的团队来说，会省掉大量重复申请和部署的工作。

不过，通配符证书也不是万能的。第一，它通常只覆盖一级子域名，不会自动保护 a.b.example.com 这种更深层级；第二，一旦私钥泄露，影响范围会比单域名证书更大；第三，很多通配符证书要求用 DNS 验证，配置上比普通 HTTP 验证更麻烦一些。也就是说，它更适合有一定运维能力、域名结构相对清晰的场景。

从成本角度看，如果你只有一个官网，或者只有 www 和不带 www 两个入口，那么单域名证书甚至免费证书就足够了。如果你有一堆二级域名，例如后台、接口、静态资源、下载站、文档站都分开部署，这时候通配符证书通常更省事。否则你可能要维护一长串单独证书，续签时非常容易漏掉。

另外，还有不少人忽略了一个现实问题：你的网站是不是一定要自己管理证书。如果前面已经接了 CDN、反向代理平台、云 WAF，很多时候前端证书可以直接在平台侧托管，源站只处理回源证书或内部链路证书。这样一来，证书类型怎么选，就要结合平台架构一起看，而不是只盯着域名数量。

简单说，单域名证书适合结构简单、站点数量少的场景；通配符证书适合二级域名多、扩展频繁的业务。不要只看“哪个更高级”，而要看你的站点结构是不是值得为通配符的便利付出更高的管理要求。