Entry № 1376
通配符证书
通配符证书 是什么?
通配符证书主体名称使用星号通配某个域下任意单级子域名的 X.509 证书,例如 *.example.com。
通配符证书可以覆盖父域下任意数量的单级子域。它适合在同一证书与同一私钥下服务大量子域、多租户应用或动态命名。星号只能匹配单个 DNS 标签:*.example.com 可匹配 a.example.com,但不能匹配 a.b.example.com,也不包含裸域本身。其代价是私钥泄露时影响面更广(任何子域都可被伪造),生命周期管理更复杂,CA 通常要求 DNS-01 验证。对于敏感子域,建议使用独立证书、严格的密钥隔离和较短的有效期。
● 示例
- 01
*.example.com 用于终止 blog.example.com、shop.example.com 和 api.example.com 的 TLS。
- 02
SaaS 平台为所有租户子域签发同一张 *.tenants.example.com 通配符证书。
● 常见问题
通配符证书 是什么?
主体名称使用星号通配某个域下任意单级子域名的 X.509 证书,例如 *.example.com。 它属于网络安全的 网络安全 分类。
通配符证书 是什么意思?
主体名称使用星号通配某个域下任意单级子域名的 X.509 证书,例如 *.example.com。
如何防御 通配符证书?
针对 通配符证书 的防御通常结合技术控制与运营实践,详见上方完整定义。
通配符证书 还有哪些其他名称?
常见的别称包括: 通配符 TLS 证书。