通配符SSL证书以其强大的子域名保护能力著称，但关于"是否支持无限子域名"以及匹配规则，许多用户存在误解。本文将详细解析通配符证书的泛域名匹配机制。
一、通配符SSL证书支持多少个子域名
答案是：支持无限数量的同级子域名。只要子域名属于同一层级，且属于证书保护的通配符域名，数量没有限制。例如购买 *.tongpeifu.cn 通配符证书，您可以保护 www.tongpeifu.cn、mail.tongpeifu.cn、api.tongpeifu.cn、blog.tongpeifu.cn 等任意数量的同级子域名。
这也是通配符证书相比单域名证书的最大价值——无论未来新增多少个子站点，都无需额外购买证书。
二、通配符*的匹配规则
通配符证书的星号（*）遵循RFC 2818标准的匹配规则，核心要点如下：
1. 仅匹配单层子域名
*.tongpeifu.cn 匹配：www.tongpeifu.cn（单层）
*.tongpeifu.cn 不匹配：a.b.tongpeifu.cn（两层子域名）
*.tongpeifu.cn 不匹配：tongpeifu.cn（主域名本身）
2. 星号只能出现在最左侧
合法：*.tongpeifu.cn
非法：www.*.tongpeifu.cn（通配符不能在中间）
非法：tongpeifu.cn.*（通配符不能在右侧）
3. 星号匹配任意字符
星号可以匹配任意长度的合法子域名前缀，包括字母、数字、连字符等。但空字符串不匹配，即 *.tongpeifu.cn 不等于 tongpeifu.cn。
三、不匹配的常见情况
使用通配符SSL证书时，以下场景需要注意：
1. 主域名不受保护
*.tongpeifu.cn 证书无法保护 tongpeifu.cn 本身。如需同时保护主域名，需在CSR生成时确保SAN包含主域名，或选择支持主域名+通配符的证书产品。
2. 多级子域名不受保护
*.tongpeifu.cn 无法保护 a.b.tongpeifu.cn。如需保护多级子域名，需购买通配符的通配符（如 *.b.tongpeifu.cn）或选择多域名通配符证书。
3. 不同主域名不互通
*.tongpeifu.cn 不能用于 *.example.com，每个主域名需要单独的通配符证书。
四、如何验证子域名是否被保护
部署通配符证书后，可通过以下方式验证：
1. 在浏览器访问子域名，查看是否显示安全锁标志
2. 点击锁标志查看证书详情，确认"颁发给"是否包含通配符域名
3. 使用在线SSL检测工具（如SSL Labs SSL Test）检测证书覆盖范围
五、通配符证书的最佳实践
1. 新增子域名后无需重新部署证书，但需确保服务器配置了通配符证书
2. 如需保护主域名和子域名，购买时确认证书包含主域名SAN
3. 定期检查证书到期时间，及时续费避免子域名集体失效
4. 不同环境（开发、测试、生产）建议使用不同的通配符证书
通配符SSL证书的泛域名解析机制为多子域名网站提供了极大便利。理解通配符*的匹配规则，能够帮助您正确规划和部署HTTPS证书，确保所有子站点都得到有效保护。
