通配证书为什么不能覆盖所有子域名：SCDN域名清单的匹配检查

购买或签发了通配证书之后，团队容易把它理解为“这个域名下面都能用”。实际上，通配名称有明确的匹配范围。SCDN增加一个多级子域名时，即使证书尚未过期，也可能因为名称不匹配而失败。

用具体名称核对覆盖范围

RFC 9525规定，支持通配标识的匹配中，通配符位于最左侧并只匹配一个标签。下面仅使用保留示例域名说明这个规则，不代表任何实际站点配置。

一张证书可以包含多个名称，最终应检查实际证书的标识集合，不能只看购买页面写的“通配”或文件名。根域名是否另行包含，要以证书内容为准。

证书覆盖与平台接入是两件事

证书名称可以覆盖某域名，不代表CDN已为它建立路由，也不代表应用接受该Host。接入清单应分别记录DNS、边缘域名配置、证书映射、回源目标和应用虚拟主机。

新增域名时，确认请求不会落入默认站点。错误证书和错误业务页面可能来自同一个默认配置问题，排查应保存实际访问名称、选中的证书及返回内容，而不是仅凭浏览器错误提示重复上传证书。

多级名称的方案怎样选择

团队可以根据域名数量、变更频率和权限边界，选择明确名称证书或适当层级的通配证书。不能只为了少管理几张证书而把所有业务共用一把私钥，尤其当这些业务由不同团队或供应商维护时。

整理一张映射表：每个公网名称由哪张证书覆盖，私钥由谁保管，在哪些入口部署，什么情况下需要替换。遇到私钥泄露时，这张表能帮助确定影响范围，而不仅用于到期提醒。

验证时保留正确的访问名称

证书匹配针对客户端期望访问的服务名称。测试某个边缘地址时，应使用平台或维护工具支持的方式保留正确的主机名与TLS信息；直接输入IP地址看到不匹配，不足以证明域名服务配置错误。

至少验证根域名、一个普通子域名、一个多级子域名和一个不应被服务的名称。允许访问的目标应取得正确证书与业务内容，不允许的名称应按设计处理，而不是进入其他客户站点。

在SCDN多域名接入中，可以把这张表与域名配置基线一起维护。以后新增区域、品牌或租户域名时，先做名称匹配检查，再安排DNS切换。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。