IIS多域名设置的核心是利用SNI（服务器名称指示）技术，在单个IP上绑定多个域名并各自匹配不同SSL证书；而多泛域名和混合域名证书的购买，关键在于根据域名数量和层级选择支持SAN与Wildcard的组合证书，以平衡成本与覆盖范围。
IIS多域名绑定SSL证书：两种主流设置方法
大多数IIS管理员面临的多域名场景无非两种：多个域名指向同一个网站内容，或者多个域名各自对应独立的网站，这两种情况在IIS中的绑定操作略有不同，但都依赖SNI（Server Name Indication）来区分不同域名。
同一网站绑定多个域名
当你有多个域名（如example.com、www.example.com、example.net）都想展示同一套网站程序时，只需在IIS中添加多个主机名绑定，并指向同一个证书（前提是该证书包含所有绑定的域名）,操作路径如下：
- 打开IIS管理器,选择目标网站。
- 在右侧“操作”面板点击“绑定”，添加”。
- 类型选择HTTPS，主机名填写第一个域名（如example.com），勾选“需要服务器名称指示”,并选择对应的SSL证书。
- 重复“添加”操作，依次填入其他域名（如www.example.com、example.net），每添加一个域名都要确保已勾选SNI,并选择同一张证书。
如果使用多域名证书（SAN证书），所有域名都在证书的“使用者备用名称”列表中，则无需为每个域名单独选择证书，统一使用同一张即可，如果使用多张单域名证书，则每个绑定可以选择不同的证书,但必须确保每个证书都能通过SNI匹配到对应域名。
不同网站绑定不同域名
当多个域名需要分别对应不同的网站应用（如shop.example.com和blog.example.com是两套独立站点），则需要在IIS中创建多个网站，每个网站绑定一个域名，并各自关联自己的证书,操作步骤：
- 在IIS中创建新网站,指定物理路径。
- 为该网站添加HTTPS绑定，主机名填对应域名,勾选SNI并选择专属证书。
- 重复上述步骤为其他网站配置。
这种方式下，每个网站独立运行，互不干扰，SSL证书也彼此独立,适合域名业务差异较大的场景。
SNI配置的关键点
- SNI要求IIS版本为8.0及以上（Windows Server 2012起），客户端操作系统及浏览器需支持SNI（目前主流环境均已支持）。
- 绑定时必须勾选“需要服务器名称指示”,否则IIS无法正确匹配不同域名。
- 证书私钥必须可导出，推荐使用PFX格式导入,确保每个绑定都能引用。
多泛域名证书购买方法：从需求到配置
多域名证书（SAN）和泛域名证书（Wildcard）各有适用场景，而混合域名证书则结合了两者优势，购买前需要明确两点：域名清单和验证级别。
多域名证书（SAN/UCC）
- 一个证书可包含多个独立域名，如domain.com、sub.domain.com、other.com。
- 每个域名都需单独验证（DV通过DNS或邮箱，OV/EV需提交组织材料）。
- 适合域名数量固定且不包含大量子域名的场景，例如你有5个不同顶级域名，买一张SAN证书比买5张单域名证书更划算,也便于管理。
泛域名证书（Wildcard）
- 覆盖一个主域名及所有单级子域名，如.example.com可保护www.example.com、mail.example.com、api.example.com等。
- 不能跨主域名，也不能保护二级域名本身（如example.com需单独购买或包含在SAN中）。
- 适合同一主域名下大量子域名的保护，如大型企业门户、多站点部署。
混合域名证书
- 同时包含多个泛域名条目和普通域名条目，如.example.com、.domain.com、domain.com。
- 行业共识认为，混合证书在大规模多域名环境中性价比最高，因为它避免了为每个子域名单独购买证书,也无需为每个主域名买一张泛域名证书。
- 购买时需确认CA是否支持混合条目,并非所有CA都提供这种组合产品。
购买前的需求评估清单
- 列出所有需要保护的域名,区分主域名和子域名。
- 确定是否需要覆盖不同顶级域（如.com与.cn）。
- 预估未来半年内是否会新增域名,避免频繁补购。
- 选择验证级别：DV适合个人项目，OV适合企业官网，EV适合金融、电商等高信任度业务。
混合域名证书价格与选购建议
价格是购买决策中最直接的因素，但不同CA和代理商的定价策略差异较大，且受验证等级、域名数量、泛域名条目数影响。
价格构成逻辑
- 单域名证书最便宜,但每增加一个域名就多一份费用。
- 泛域名证书按主域名计费，通常比单域名贵，但若子域名超过3个,其成本优势就显现出来。
- 混合域名证书的价格一般介于纯多域名和纯泛域名之间，取决于你选择多少个泛域名条目和普通域名，一张包含2个泛域名+5个普通域名的证书，价格可能比分别购买一张2泛域名和一张5域名证书低20%-30%。
购买渠道对比
| 渠道 | 优势 | 注意点 |
|---|---|---|
| 国际CA（如DigiCert、Sectigo） | 品牌信任度高，兼容性好，支持全球根证书。 | 价格相对较高，中文支持有限，续费价格可能上涨。 |
| 国内代理商（简米云、酷番云、华为云） | 价格有竞争力，中文客服，支持域名备案验证，续费价格稳定。 | 部分代理商对泛域名条数有限制，购买前需确认。 |
| 专门SSL平台（如SSL.com、CheapSSL） | 常有限时折扣，支持多种灵活组合。 | 售后服务响应速度参差不齐，支付方式可能受限。 |
据工信部数据，近年来国内SSL证书市场增长迅速，相当一部分企业选择通过国内云服务商购买证书，因为可以一站式完成域名验证和部署，在选择时，建议优先考虑支持多域名+泛域名混合的证书产品,并确认其是否兼容IIS的SNI绑定。
购买五步实操
- 生成CSR：在IIS中通过“服务器证书-创建证书申请”生成CSR，填写组织信息,私钥保留在服务器上。
- 提交订单：选择证书类型（多域名/泛域名/混合），填写域名列表,粘贴CSR内容。
- 域名验证：根据邮件或DNS添加TXT记录，完成所有权验证，DV通常在几分钟内完成，OV/EV需1-3个工作日。
- 下载证书：收到签发通知后，下载IIS兼容格式（PFX或P7B+私钥）。
- 导入IIS并绑定：按前文所述步骤导入证书,为每个需要HTTPS的网站绑定证书并配置SNI。
IIS中导入和配置多域名证书的实操步骤
证书下载后，进入IIS的服务器证书管理界面,导入操作是后续绑定的基础。
导入证书到个人存储
- 在IIS管理器左侧选择服务器节点，双击“服务器证书”。
- 在右侧操作面板点击“导入”，选择PFX文件,输入导出密码。
- 存储位置选择“个人”,确保证书可以被网站绑定调用。
绑定证书到网站
- 选择目标网站，点击“绑定”。
- 添加HTTPS类型，主机名填写域名（如www.example.com），勾选“需要服务器名称指示”。
- 在SSL证书下拉菜单中选择刚刚导入的证书。
- 重复添加其他域名，每个域名独立绑定，选择同一张证书（若证书覆盖所有域名）。
验证配置是否生效
- 使用浏览器访问每个域名，点击地址栏锁图标查看证书信息,确保证书包含该域名。
- 在命令行执行
openssl s_client -connect www.example.com:443 -servername www.example.com,检查返回的证书CN和SAN列表。
IIS多域名设置及证书购买常见问题
Q1: IIS多域名设置时，一个网站绑定多个域名，是否需要为每个域名单独购买证书？
不需要，如果使用一张多域名证书（SAN证书），一个证书可以覆盖多个域名，绑定到同一网站时，每个绑定使用同一证书即可，如果使用不同证书，则需要SNI支持，每个绑定独立选择证书,但证书数量与域名数量一致。
Q2: 多泛域名和混合域名证书的价格相差大吗？
价格差异主要取决于域名数量和验证等级，混合域名证书因为包含泛域名条目，通常比纯多域名证书贵，但相比为每个域名单独购买，整体成本更低，业内专家指出，对于5个域名以上且包含子域名的场景，混合证书的性价比更高,实际费用视具体CA和促销活动而定。
Q3: 国内哪个SSL证书适合多域名场景？
国内主流云服务商如简米云、酷番云、华为云都提供多域名和泛域名证书，支持DV/OV/EV验证，且价格有竞争力，购买时需注意域名数量限制，以及是否支持混合条目，以酷番云为例，其多域名证书最多支持添加100个域名，泛域名证书支持单个泛域名,混合域名证书则需在订单中自定义组合。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/571007.html
