CyberGlossary

网络安全

通配符证书

别称: 通配符 TLS 证书

定义

主体名称使用星号通配某个域下任意单级子域名的 X.509 证书,例如 *.example.com。

通配符证书可以覆盖父域下任意数量的单级子域。它适合在同一证书与同一私钥下服务大量子域、多租户应用或动态命名。星号只能匹配单个 DNS 标签:*.example.com 可匹配 a.example.com,但不能匹配 a.b.example.com,也不包含裸域本身。其代价是私钥泄露时影响面更广(任何子域都可被伪造),生命周期管理更复杂,CA 通常要求 DNS-01 验证。对于敏感子域,建议使用独立证书、严格的密钥隔离和较短的有效期。

示例

  • *.example.com 用于终止 blog.example.com、shop.example.com 和 api.example.com 的 TLS。
  • SaaS 平台为所有租户子域签发同一张 *.tenants.example.com 通配符证书。

相关术语