通配符证书能覆盖多级子域吗？按SAN逐项核对真实主机名

常见TLS通配符名称通常只匹配所在位置的一层标签，不能默认覆盖任意深度的子域。是否同时包含根域或其他名称，要看证书列出的具体项目。上线新主机名时，应直接核对SAN，而不是凭“买了通配符”就认为无需检查。

2026年11月7日SSL查询实拍，检查对象为KKCE自身公开入口。证书日期及状态仅反映当次返回；此图不是全站安全认证，后续部署变化需重新核查。

一层通配符不是无限层级

以星号代表某一层标签时，更深的主机名通常不在同一匹配范围内。根域也不会仅因为存在一条通配符名称就自然包含。实际覆盖以证书中的各项名称及客户端校验规则为准。

多域名证书可以列出额外项目

一张证书可能同时包含根域、通配符和其他明确名称，不能只读产品购买页的简称。核查正在对外返回的证书，而非只看本地保存文件，避免代理层仍部署旧版本。

在实际入口核对部署

通过KKCE 证书工具查看证书信息，再用需要访问的准确主机名验证。不同边缘节点或地址族可能使用不同配置；一个入口正确不保证所有入口都已更新。必要时分别核对异常来源。

新域名上线前安排独立验收

将主机名加入资产清单，检查证书覆盖、有效期和链路，并验证真实浏览器。KKCE可帮助快速查看公开证书状态，但不能替代对每个实际业务入口的配置核实。避免仅改解析就立即发布新链接。