做云站点运维这些年，我们武荣网络经常碰到客户问这个问题：在华为云申请SSL证书，一个主域名下面到底能申请多少个二级域名？不少人默认买了主域名的证书，旗下所有二级域名就都能自动复用，结果配置完才发现浏览器一直报不安全，折腾半天也找不到原因。其实这个问题没有固定答案，完全要看你选的是哪种类型的证书，不同类型的规则差得非常多。
先说说大家用得最多的免费单域名证书。华为云给每个账号提供20张免费的DV级单域名证书，有效期一年，这也是绝大多数个人站长和小企业的首选。这里要注意，所谓“单域名”就是一张证书只能绑定一个具体的域名，不管你是主域名0595wr.cn，还是二级域名www.0595wr.cn、api.0595wr.cn，每一个都单独占用一张证书额度。
换句话说，如果你全用免费证书，一个主域名下的二级域名数量上限，取决于你剩下的免费额度。而且这里有个很容易踩的坑：主域名的证书并不包含任何二级域名。很多人以为给0595wr.cn申请了证书，旗下的www、mail这些二级域名就都能用了，实际完全不是这么回事，每一个二级域名都要单独申请证书才行。另外20张是全账号的总额度，哪怕是你删掉的、吊销的、超时未签发的，都会占用额度，不是删了就能恢复名额。
如果你二级域名比较多，或者后续经常要新增子站，泛域名（通配符）证书会划算得多。华为云的泛域名证书，单张只能绑定一个带通配符的域名，比如*.0595wr.cn，这种证书可以覆盖同一层级的所有二级域名，数量没有上限。不管你有10个还是100个二级域名，只要是xxx.0595wr.cn的格式，都能用这一张证书，后续新增子站也不用重新申请签发，非常省心。
不过泛域名证书有个层级限制：只能匹配同级的子域名。比如.0595wr.cn只能管二级域名，像test.www.0595wr.cn这种三级域名是覆盖不到的，如果需要覆盖三级域名，就得单独申请.www.0595wr.cn的泛域名证书，不能跨层级通用。
还有一种是多域名证书，适合手里有多个不同主域名的情况。一张多域名证书最多可以绑定250个不同的域名，这些域名可以是主域名，也可以是不同主域下的二级域名，如果是OV级别的多域名证书，还可以混合加入泛域名条目。这种证书的好处是统一管理，不用维护一大堆零散的单域名证书，适合域名多、业务线复杂的企业。
很多站长刚接触SSL的时候，容易踩几个常见的误区，这里也一并说清楚。
第一个就是前面提到的，以为主域名证书包含二级域名。单域名证书就是一对一，主域名和二级域名是完全独立的两个域名，不要想当然觉得买一送多。
第二个是觉得免费证书可以无限申请。华为云的免费额度是固定20张，用完就只能买付费证书，不要等业务扩展了才发现额度不够，临时折腾耽误事。
第三个是以为泛域名能覆盖所有层级的子域名。通配符只能管同级，往下多一级就不行了，规划域名的时候就要考虑清楚。
至于怎么选，其实很简单。如果你的站点就一两个二级域名，用免费的单域名证书就足够，零成本就能搞定HTTPS。如果二级域名数量超过五六个，或者后续经常要新增子站点，直接买一张泛域名证书最省事，一次付费管一年，不用每次加子站都重新走申请流程。如果手里有好几个不同的主域名，多域名证书的管理成本会更低。
我们给客户做站点部署的时候，一般都会先理清对方的域名规划，再推荐对应的证书方案。很多人一开始图省事随便申请，后面业务扩了再来回换，反而更麻烦。SSL证书看着是个小东西，却是站点安全的基础，配置错了轻则影响用户信任，重则导致站点无法正常访问，还是一开始就规划好更稳妥。
35058302350743号
