告别多域名管理烦恼，阿里云泛域名证书申请保姆级全攻略
本文提供了一份保姆级的阿里云泛域名证书申请全攻略，旨在帮助用户彻底告别多域名管理的繁琐烦恼，泛域名SSL证书只需申请一次，即可保护同一主域名下的所有同级子域名，有效避免了逐一申请与定期续期的高昂维护成本，攻略详细拆解了在阿里云平台从证书选择、购买、填写申请信息、DNS验证，到最终下载与部署证书的完整操作流程，通过本指南，无论是个人开发者还是企业运维人员，都能轻松掌握实操技巧，高效实现网站HTTPS加密与多域名的简化管理。
在当今的互联网时代，为网站启用HTTPS加密已经成为标配，无论是为了保障用户数据安全，还是为了提升搜索引擎排名（SEO），SSL证书都是不可或缺的，对于拥有大量子域名的企业或个人开发者来说，为每一个子域名单独申请一张证书不仅成本高昂,而且后期的管理和续期简直是一场噩梦。
这时候，“泛域名证书”就成了救命稻草，我们就来详细聊聊泛域名证书申请的那些事儿,帮你轻松实现全站HTTPS。
什么是泛域名证书？
泛域名证书，也叫通配符证书，通常以星号（）来表示，当你为 `.example.com申请了一张泛域名证书后，这张证书就可以保护该主域名下的所有子域名，比如www.example.comblog.example.comapi.example.com` 等等。
为什么要申请泛域名证书？
- 降本增效：无论你有多少个子域名，只需要购买一张证书即可全部覆盖,大大节省了成本。
- 管理便捷：无需在服务器上为几十个甚至上百个域名分别配置和更换证书,运维工作量呈指数级下降。
- 无限子域名支持：未来如果你新增了子域名，不需要重新申请新证书，直接使用现有的泛域名证书部署即可,即开即用。
泛域名证书申请的常规流程
目前市面上的泛域名证书申请主要分为两种渠道：付费的商业证书颁发机构（CA，如DigiCert、GlobalSign等）和免费的证书机构（如Let's Encrypt），无论哪种渠道,核心的申请步骤大同小异。
第一步：选择证书颁发机构（CA）
如果你是企业用户，且对证书的保险额度、OV（组织验证）或EV（扩展验证）有要求，建议选择付费的商业CA，如果你是个人开发者或中小型项目，直接选择免费的Let's Encrypt即可，它同样提供标准的泛域名证书（DV证书）。
第二步：生成证书签名请求（CSR）
在申请证书之前，你需要在你的服务器上生成一个CSR文件和私钥（Private Key）,通常使用OpenSSL工具即可完成：
openssl req -new -newkey rsa:2048 -nodes -keyout private.key -out request.csr
在生成过程中，系统会要求你输入国家、省份、组织名等信息。最关键的一步是：在“Common Name (e.g. server FQDN or YOUR name)”这一项中，一定要输入你的泛域名，*.example.com。
第三步：提交申请并完成域名验证
将生成的CSR文件提交给CA机构，为了证明你对该域名拥有控制权，CA机构会要求你完成域名验证,泛域名证书申请通常只支持以下两种验证方式：
- DNS验证（最常用）：CA会要求你在域名的DNS解析中添加一条特定的TXT记录。
_acme-challenge.example.com，这种方式不需要服务器开放端口，且支持自动续期,是强烈推荐的方式。 - 邮件验证：CA会向该域名的管理员邮箱（如 admin@example.com）发送一封包含验证码的邮件,点击链接即可完成验证。
第四步：下载并部署证书
验证通过后，CA机构会签发证书，你可以下载证书文件（通常包含证书公钥和中间证书），配合你在第二步生成的私钥（private.key），将其部署到Nginx、Apache、Tomcat等Web服务器中即可。
免费泛域名证书申请实战（Let's Encrypt）
对于预算有限的用户，通过 acme.sh 脚本申请Let's Encrypt免费泛域名证书是目前最主流的方案。
- 安装 acme.sh：
curl https://get.acme.sh | sh
- 设置默认CA（可选，默认即为Let's Encrypt）：
acme.sh --set-default-ca --server letsencrypt
- 使用DNS API自动验证并申请证书：
假设你的域名托管在阿里云，你可以先在环境变量中配置阿里云的API Key，然后执行以下命令，acme.sh会自动添加并删除DNS TXT记录，完成泛域名证书申请：
acme.sh --issue --dns dns_ali -d example.com -d *.example.com
- 安装证书到Nginx：
acme.sh --install-cert -d *.example.com \ --key-file /path/to/private.key \ --fullchain-file /path/to/cert.crt \ --reloadcmd "systemctl reload nginx"
acme.sh会自动设置定时任务，每60天自动为你续期一次,彻底解放双手。
注意事项
- 泛域名不等于根域名：
*.example.com的证书可以保护www.example.com，但不能直接保护example.com，在申请时，建议同时加上根域名（如上面acme.sh命令中的-d example.com）。 - 只保护一级子域名：泛域名证书只保护一层子域名。
*.example.com可以保护a.example.com，但不能保护b.a.example.com，如果需要保护多级，需要申请更高一级的泛域名*.a.example.com。 - 妥善保管私钥：私钥（Private Key）是证书安全的基石，一旦泄露，你的HTTPS加密形同虚设，切勿将私钥上传到公开的代码仓库（如GitHub）。
通过泛域名证书申请与部署，你可以用最低的成本和最简的配置，实现全站HTTPS加密，无论你是选择商业证书以彰显企业实力，还是选择Let's Encrypt以追求极致的免费与自动化，泛域名证书都将是你在网站运维道路上的得力助手,希望这篇文章能帮助你顺利完成证书的申请与配置！
