·单域名证书：只保护一个完全限定域名（FQDN）。
· 通配符证书：保护一个主域名及其所有同级子域名。
—
详细对比
为了更直观地理解，我们通过一个表格来对比：
特性 单域名SSL证书 通配符SSL证书
覆盖范围 仅保护一个特定的域名。例如 www.example.com 或 shop.example.com。 保护一个主域名及其所有同级子域名。例如 *.example.com 可保护： – example.com – www.example.com – shop.example.com – api.example.com – 任何您未来创建的子域名
价格 相对便宜。是成本最低的入门选择。 相对昂贵。通常比单域名证书贵数倍，但比为每个子域名单独购买证书要便宜得多。
灵活性/扩展性 低。每增加一个新的子域名（如 blog.example.com），都需要为其单独购买并部署一个新的证书。 极高。证书签发后，您可以随时为主域名添加新的子域名，无需为SSL证书支付额外费用或重新申请。
管理难度 高。如果您有多个子域名，您需要跟踪每个证书的到期时间，并分别进行续费、安装和更新，非常繁琐。 低。您只需要管理一个证书。所有子域名的安全都由这一个证书负责，只需记住一个到期日并进行一次续费和管理操作。
适用场景 – 只有一个域名的简单网站（如个人博客）。 – 没有子域名或子域名极少的企业站。 – 需要为不同子域名使用不同安全级别或CA的特定场景。 – 拥有多个子域名或计划未来扩展子域名的网站。 – 希望简化证书管理、降低运维成本的企业。 – 例如：大型电商平台、SaaS服务、拥有API、移动端后台等的复杂应用。
安全性 风险隔离。如果一个子域名的私钥泄露，不会影响到其他子域名或主域名的安全。 风险集中。通配符证书的私钥是通用的。一旦私钥泄露，所有受该通配符证书保护的子域名都会面临安全风险。因此需要对私钥进行更严格的管理和保护。
—
举例说明
假设您的公司拥有以下域名：
· 主站：www.company.com
· 博客：blog.company.com
· 商店：shop.company.com
· API服务：api.company.com
方案A：使用单域名证书
· 您需要为 每个 域名（www.company.com, blog.company.com, shop.company.com, api.company.com）分别购买 4 张单域名证书。
· 您需要管理4个证书的申请、安装、续费（4个不同的到期日）。
· 总成本 = 4张单域名证书的费用。
方案B：使用通配符证书
· 您只需要购买 一张 通配符证书（*.company.com）。
· 这一张证书可以同时保护以上所有4个域名，以及未来可能增加的dev.company.com, test.company.com等任何子域名。
· 您只需要管理1个证书的申请、安装、续费（1个到期日）。
· 总成本 = 1张通配符证书的费用。
总结与建议
选择单域名证书如果… 选择通配符证书如果…
预算 预算有限，且只有一两个域名需要保护。 预算充足，且有多个子域名需要保护。从长期看，管理多个子域名的总成本通常低于购买多张单域名证书。
需求 网站结构简单，没有或很少有子域名，且未来没有扩展计划。 网站结构复杂，拥有或计划拥有大量子域名（如API、移动端、测试环境、客户门户等）。
管理 不介意管理多个证书和到期日。 希望极大简化运维工作，实现“一证通吃”，避免管理多个证书的麻烦。
最后请注意：无论是单域名还是通配符证书，都不能保护不同的主域名。例如，一张 *.example.com 的证书不能保护 example.org 或 sub.another.com。如果您需要保护多个完全不同的主域名，则需要考虑多域名证书（SAN证书）。
