【導(dǎo)讀】免費(fèi)通配符證書確實(shí)存在，但不像普通DV證書那樣隨手可得。它受限于CA政策、驗(yàn)證方式和技術(shù)棧支持程度。這篇文章就說(shuō)透它的來(lái)龍去脈。

什么叫通配符證書？和普通SSL有什么不一樣？
常規(guī)SSL證書只能保護(hù)一個(gè)精確域名，比如 example.com 或 www.example.com。而通配符證書用 * 號(hào)代替三級(jí)或多級(jí)子域，一張證書就能覆蓋：

mail.example.com
shop.example.com
api.example.com
dev.staging.test.example.com（取決于層級(jí)定義）
這對(duì)開發(fā)測(cè)試環(huán)境、微服務(wù)架構(gòu)或頻繁新增子站的企業(yè)來(lái)說(shuō)非常高效——省去了逐個(gè)申請(qǐng)、分別部署的麻煩。

目前哪家CA提供真正免費(fèi)的通配符證書？
截至2024年，唯一面向公眾開放且長(zhǎng)期穩(wěn)定的免費(fèi)通配符證書來(lái)源仍是 Let’s Encrypt，前提是滿足以下兩個(gè)硬性條件：

必須使用 DNS 方式完成域名所有權(quán)驗(yàn)證（即在DNS后臺(tái)添加一條TXT記錄）；
申請(qǐng)人需具備自動(dòng)化腳本能力或使用支持 ACME 協(xié)議的客戶端工具（如 acme.sh / Certbot 插件）。
也就是說(shuō)：沒有圖形界面、不接受郵箱/HTTP文件驗(yàn)證、也不能靠點(diǎn)鼠標(biāo)完成。這也是為什么很多人搜“免費(fèi)通配符證書”卻找不到入口的原因。

為什么不能像普通證書一樣隨便申請(qǐng)？
根本原因是風(fēng)險(xiǎn)控制。相比單一域名，通配符代表更大范圍的信任授權(quán)。Let’s Encrypt 明確規(guī)定：

每次申請(qǐng)最多涵蓋100個(gè)域名（含主域+子域）；
同一賬戶每周限簽50張新證（防止濫用）；
不允許用于高危用途，例如代理釣魚站點(diǎn)或惡意軟件分發(fā)平臺(tái)。
因此它更適合技術(shù)可控、運(yùn)維自主的真實(shí)生產(chǎn)環(huán)境，而非外包建站或共享主機(jī)用戶。

手把手教你怎么拿到第一張免費(fèi)通配符證書
以最常見的 Linux VPS 場(chǎng)景為例，三步到位：

安裝 acme.sh 工具：curl https://get.acme.sh | sh；
登錄你的DNS服務(wù)商后臺(tái)，獲取 API Key 并配置到 shell 中（如 Cloudflare/DNSPod 支持）；
執(zhí)行命令：acme.sh --issue -d "example.com" -d "*.example.com" --dns dns_cf。
幾分鐘后證書自動(dòng)簽發(fā)并存放至 ~/.acme.sh/example.com/ 目錄下。記得將 *.cer 和 *.key 文件拷貝至 Nginx/Apache 對(duì)應(yīng)路徑，并重啟服務(wù)。

在此處添加配圖

不適合用免費(fèi)通配符證書的幾種情況
并不是所有需求都能靠這張證書解決。請(qǐng)注意規(guī)避以下誤區(qū)：

你想保護(hù)頂級(jí)域名本身（如 .com/.cn），這是絕對(duì)不可能的；
你需要 OV/EV 類型認(rèn)證（顯示公司名），Let’s Encrypt 不提供此類免費(fèi)選項(xiàng)；
你用的是 Windows 主機(jī) + IIS，缺乏成熟ACME集成組件，手動(dòng)部署難度陡升；
你經(jīng)常變更DNS提供商，每次都得重新錄入API憑證，反而增加管理負(fù)擔(dān)。
在這種情況下，不如選用一年期入門款商業(yè)通配符證書，價(jià)格大多低于￥300，附贈(zèng)專業(yè)技術(shù)支持和兼容性兜底保障。

結(jié)語(yǔ)：理性看待“免費(fèi)”的代價(jià)
免費(fèi)通配符證書的價(jià)值不在省錢，而在靈活性與擴(kuò)展性。它可以為你節(jié)省重復(fù)勞動(dòng)時(shí)間、支撐敏捷迭代節(jié)奏、減少人為失誤概率。但這一切的前提是你愿意花半小時(shí)學(xué)習(xí)一套標(biāo)準(zhǔn)化流程。如果你的目標(biāo)只是讓網(wǎng)站首頁(yè)變綠鎖，那就沒必要折騰通配符——單域名證書更快更穩(wěn)。

說(shuō)到底，免費(fèi)通配符證書不是一個(gè)拿來(lái)即用的功能按鈕，而是一把需要親手打磨的鑰匙。握得住，才打得開更大的門。

延伸問答
Q：我能拿免費(fèi)通配符證書去保護(hù)多個(gè)一級(jí)域名嗎？比如 *.a.com 和 *.b.net 同時(shí)簽在同一張證書里？
A：不行。Wildcard只作用于同根域名下的二級(jí)及更深子域，跨主域必須分開申請(qǐng)。
Q：證書到期前多久開始自動(dòng)續(xù)訂？會(huì)不會(huì)突然失效？
A：acme.sh 默認(rèn)提前60天檢測(cè)并更新，成功率高于99.5%，極少發(fā)生意外中斷。