SSL多级子域通配符

Question

我为 *.example.com 购买了通配符证书。现在，我需要保护 *.subdomain.example.com。是否可以创建子证书以使用我的通配符证书？

如果可以，我该如何做到这一点？

- Attrachii

---

还可以参考以下内容：如何使用您的认证机构签署证书签名请求和如何使用openssl创建自签名证书？ 您还需要将自签名证书放置在适当的信任存储中。 - jww

Answer 1

不行，一个名称中的通配符只能反映一个标签，并且通配符只能是最左边的。因此，*.*.example.org或www.*.example.org都不可能。而*.example.org将既不匹配example.org也不匹配www.subdomain.example.org，只匹配subdomain.example.org。

但是，您可以在同一证书中拥有多个通配符名称，即您可以在同一证书中拥有*.example.org和*.subdomain.example.org。

- Steffen Ullrich

---

我认为这篇文章对多级通配符的回答很有补充作用：您可以为两个级别创建通配符SSL证书吗？ - joseluisq

但是你可以在同一个证书中拥有多个通配符名称 - 如果你能说明一下你所指的是哪个证书的字段，比如“通用名称”还是“主题备用名称”，那将会很有帮助。 - undefined

@PiotrDobrogost：如今，通用名称已不再重要，一切都通过主题备用名称完成。 - undefined

Answer 2

使用单个通配符证书无法保护多级子域名。如果为*.mydomain.tld颁发了通配符证书，则只能保护*.mydomain.com的第一级子域名。

要保护您的第二级子域名，您有两个选择。

购买另一个通配符证书，用于*.sub1.mydomain.tld。在这种情况下，您需要管理两个单独的通配符证书。

您可以选择一个多域通配符证书，其中可以添加多达100个多个域或子域。

例如：

• *.mydomain.tld
• *.sub1.mydomain.tld
• *.sub2.mydomain.tld
• *.anydomain.com

它将保护您的多个域和多级子域并减少您管理多个证书的麻烦。

- Jason Parms

Answer 3

根据一个7年前的文章（https://www.digicert.com/news/2010-9-1-new-wildcard-features/）所述：

DigiCert通配符Plus证书可以使用主题备用名称（SAN）来保护任何子域。传统的*.example.com通配符证书只能保护example.com的第一级子域，如mail.example.com。 DigiCert的通配符Plus证书使用SAN来安全地保护example.com的任何子域，包括多级子域，例如mail.internal.example.com。通过这个新功能，所有子域都可以使用DigiCert的单个通配符Plus证书进行保护。同时，在每个通配符Plus证书中自动包含基本域example.com作为SAN，这增加了兼容性并保护example.com无论是否带“www.”。

- Iliko

Answer 4

不，您不能为通配符证书创建子证书。

-> 您的通配符证书是针对“*.mydomain.tld”的，因此根据通配符SSL指南，您可以保护第一级子域。这意味着“anything.mydomain.tld”可以得到保护。

-> 但是，如果您想将其用于保护“*.subdomain.mydomain.tld”，即第二级子域，通配符证书无法保护第二级子域。 解决方案 -> 您需要为第二级子域“*.subdomain.mydomain.tld”购买另一个通配符SSL证书。

- user2967773