SSL证书完全支持二级域名，api.example.com、cdn.example.com 这类二级域名都能单独或批量配置证书，关键在于选对单域名、通配符还是多域名类型，再把证书正确安装到服务器443端口。
SSL证书支持二级域名吗？先理解域名与证书匹配逻辑
很多人以为SSL证书是按“一级域名”“二级域名”来限制的，其实不是，证书验证的不是域名层级，而是申请时写入的完整域名。www.example.com 和 api.example.com 在证书体系里都被称为完全限定域名，只要你申请的是这个精确域名,证书就支持它。
证书里有一个关键字段叫SAN，全称是Subject Alternative Name，中文叫主题备用名称，浏览器在校验时，会把你访问的域名和SAN列表逐一比对，SAN里写了 api.example.com，那这个二级域名就能用；SAN里没写，就报证书不匹配，据CA/B论坛基线要求，证书申请中的域名必须与验证控制权一致，因此二级域名能否配置成功，取决于你申请时填了什么,而不是它属于第几级。
所以结论很直接：二级域名完全可以配置SSL证书，单个二级域名可以用单域名证书，多个二级域名可以用通配符证书,跨主域的多个二级域名可以用多域名证书。
二级域名SSL证书怎么配置？先选对证书类型
配置之前先选型，选错了会重复花钱或反复折腾，市面上常见三种证书类型都支持二级域名,只是覆盖方式和成本不一样。
单域名证书配二级域名：精准但扩展性弱
单域名证书就是为一具体域名签发的证书，如果你只想给 api.example.com 配置HTTPS，选它最省钱，申请CSR时Common Name写 api.example.com，SAN也写 api.example.com,证书生效后浏览器就认可这个二级域名。
但它的短板也明显：后续再新增 m.example.com 或 cdn.example.com，这张证书就管不了了，得重新申请，对于二级域名数量固定、只有一个API网关的场景,单域名证书完全够用。
通配符证书和单域名证书区别：一张覆盖一堆二级域名
通配符证书的常见格式是 .example.com，可以保护 api.example.com、m.example.com、cdn.example.com 等任意同级二级域名，它的匹配逻辑是星号代替一个标签,所以同级二级域名随便换。
但它有两条边界：第一，不能跨级匹配，a.b.example.com 这种三级域名不包含在内；第二，裸域 example.com 通常不自动包含，申请时需要额外勾选或添加SAN，业内专家指出，当二级域名数量较多时,通配符证书的综合持有成本通常低于逐张购买单域名证书。
在更新维护上，通配符证书也比多张单域名证书省事，一张证书到期，改一处配置,所有二级域名同步生效。
免费SSL证书二级域名能用吗？能，但短周期与验证方式有限
免费证书如Let’s Encrypt、ZeroSSL都支持二级域名，单域名免费证书用HTTP文件验证或DNS验证即可；免费通配符证书通常只支持DNS验证,需要给主域添加TXT记录。
免费证书的有效期一般只有90天，需要自动化续期，个人网站、测试环境、内部系统用起来没问题，行业共识认为，免费DV证书在加密强度上与付费DV无本质区别，主要差异在验证等级、有效期、售后支持和赔付保障，商业交易、品牌展示、金融政务类场景更建议选OV或EV证书。
多域名证书：跨主域混合场景
多域名证书一张可以包含多个无关域名，api.example.com 和 api.other.com 同时写进SAN，适合一台服务器同时服务多个业务主域、且每个主域下只有少量二级域名的场景，价格比单域名高,但比分着买多张证书灵活。
| 证书类型 | 覆盖范围 | 典型场景 | 成本区间 |
|---|---|---|---|
| 单域名证书 | 一个精确域名 | 只给一个二级域名 | 低，有免费选项 |
| 通配符证书 | 同一主域下所有同级二级域名 | 多个二级域名批量保护 | 中高 |
| 多域名证书 | 多个无关域名 | 跨主域混合保护 | 较高 |
二级域名SSL证书配置实操：从申请到部署
申请阶段二级域名怎么填
- 只保护一个二级域名，选单域名证书，域名处写
api.example.com。 - 保护多个同级二级域名，选通配符证书，域名处写
.example.com
。
- 需要跨主域，选多域名证书,在SAN里逐一列出所有二级域名。
- 验证方式：单域名常用文件验证或DNS验证，通配符多数要求DNS验证,需在主域DNS后台添加TXT记录。
- 下载证书时选对服务器类型，Nginx通常要
.crt和.key两个文件,Apache可下载证书包。
Nginx配置二级域名SSL证书
下面以单域名证书保护 api.example.com 为例。
首先把证书文件上传到服务器，例如放到 /etc/nginx/ssl/ 目录，然后编辑站点配置文件,加入以下配置：
server {
listen 443 ssl;
server_name api.example.com;
ssl_certificate /etc/nginx/ssl/api.example.com.crt;
ssl_certificate_key /etc/nginx/ssl/api.example.com.key;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
location / {
proxy_pass http://127.0.0.1:8080;
}
}保存后先执行 nginx -t 测试配置语法，看到 syntax is ok 再执行 systemctl reload nginx 重载，如果用的是通配符证书，证书路径写通配符证书文件，server_name 可以写具体二级域名,也可以由多个server块复用同一张证书。
Apache配置二级域名SSL证书
Apache需要在虚拟主机段里启用SSL模块，并指定证书路径,关键配置如下：
<VirtualHost :443>
ServerName api.example.com
SSLEngine on
SSLCertificateFile /etc/apache2/ssl/api.example.com.crt
SSLCertificateKeyFile /etc/apache2/ssl/api.example.com.key
SSLCertificateChainFile /etc/apache2/ssl/api.example.com.ca-bundle
</VirtualHost>修改后执行 apachectl configtest，通过后 systemctl reload apache2。
二级域名SSL证书价格一般是多少？按需求对号入座
价格主要受证书类型、验证等级和渠道影响，免费证书零费用，单域名DV证书在国内云厂商渠道常见在百元级/年，通配符DV证书通常千元级/年，OV或EV证书价格更高一些，具体数字随促销活动和采购渠道浮动,建议直接看云厂商SSL证书控制台的实时报价。
成本不能只看证书单价，如果二级域名数量多，单域名证书单价便宜但总量成本可能反超通配符，管理成本也是隐性成本，每次新增二级域名都重新申请、部署、续期，维护工作量会持续累积，近年来自动化证书管理工具让通配符证书部署难度下降，但对企业用户来说,稳定的售后支持和证书到期提醒同样重要。
国内服务器配置二级域名SSL证书的常见坑
备案与安全组
据工信部要求，国内服务器提供Web服务需先完成ICP备案，二级域名同样需要，未备案域名即使配置了SSL证书，也会被云服务商拦截，同时检查云防火墙或安全组，443端口必须放行,部分轻量服务器默认只开放80端口。
证书链不完整导致移动端不信任
下载证书时如果只拿了网站证书，没拿中间证书，桌面浏览器可能正常，但部分移动端会报“证书不受信任”，解决办法是把中间证书拼接在网站证书后面，Nginx配置里证书文件按“网站证书+中间证书”顺序组合。
二级域名解析与证书不匹配
证书签发给 api.example.com，实际访问 m.example.com，浏览器会直接报错，这种问题经常出现在证书复用或反向代理场景,改配置前先确认SAN列表里有没有当前访问的二级域名。
二级域名配置SSL证书本身不复杂，选对证书类型、填对申请域名、装对服务器路径，基本就能避开绝大多数问题，核心逻辑只有一条：证书覆盖的域名必须和用户实际访问的二级域名完全一致，量少用单域名，量多用通配符,跨域混杂用多域名。
SSL证书二级域名常见问题问答
一个SSL证书能给多个二级域名用吗？
能，通配符证书可以给同一主域下多个同级二级域名用，多域名证书可以给不同主域下的多个二级域名用,单域名证书只能给一个精确二级域名用。
二级域名SSL证书怎么配置到酷番云或简米云？
在云厂商SSL证书控制台申请时，域名填写具体二级域名或通配符，完成验证后下载对应服务器类型的证书文件，把文件上传到服务器，修改Nginx或Apache配置，指定证书路径，执行配置测试并重载服务，各家路径类似,核心步骤一致。
通配符SSL证书能保护三级域名吗？
不能保护常规三级域名。.example.com 只匹配一级子域，a.b.example.com 这类三级域名需要额外申请多级通配符证书或单独证书。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/638096.html
