多子域名 SSL 管理：OV 通配符证书怎么用？
一个主域名下面挂着十几个甚至几十个二级地址，也就是常说的子域名，是很多企业的常态。电商有 shop、app、api、blog、cdn 等，企业有 mail、oa、crm、vpn 等。每个二级地址都单独买一张凭证，不仅贵，管理起来也很麻烦。
这种情况下，通配符证书（Wildcard SSL）常常被推荐。它可以用一张凭证保护主域名下的所有同级分支。比如 *.example.com 就能覆盖 shop.example.com、api.example.com、blog.example.com 等。
OV 通配符证书在此基础上，还增加了组织身份验证。用户查看凭据详情时，可以看到企业名称。相比 DV 通配符，OV 更适合商业场景。
多子域名的管理痛点
- • 第一是采购成本高。假设有 20 个二级地址，每张单域名凭证按市场价算，一年下来是一笔不小的费用。通配符凭证用一张覆盖所有分支，成本明显更低。
- • 第二是管理复杂。不同二级地址到期时间不一样，续期时要分别处理。如果团队交接不到位，某些分支很容易被遗忘。
- • 第三是部署风险。某个二级地址的凭据一旦过期，可能影响该业务线的正常访问。用户访问时看到“不安全”提示，信任度会下降。
- • 第四是扩展不便。如果新增分支，单域名凭证需要重新购买，通配符凭证则不需要额外操作，只要还在同一层级下，自动受保护。
OV 通配符证书能解决这些问题吗？
能，但有边界。
在成本方面，它确实能大幅降低多分支地址凭证的总体拥有成本。一张文件管所有同级子域名，采购和续期都更简单。
在管理方面，它把多个到期时间合并成一个，减少了漏续期的风险。运维人员只需要盯住一个凭据的状态。
在部署方面，新增二级地址时无需单独申请新证，部署更快。对于业务变化频繁、分支数量不定的企业来说，这点很重要。
但通配符凭证也有局限。它只能保护同一层级的分支，不能跨层级。比如 *.example.com 能覆盖 api.example.com，但不能覆盖 a.b.example.com 这种三级地址。另外，如果不同分支需要展示不同的组织信息，通配符凭据也无法满足。
过期怎么办？
即使使用通配符凭证，到期问题依然要重视。它虽然把多个分支合并到一个文件里，但这也意味着它一旦过期，所有受保护的二级地址都会同时受影响。
因此，建议企业结合 CLM 工具来管理。设置到期提醒、自动续期、集中部署，避免因为一个文件过期导致大面积服务异常。
GlobalSign 的通配符凭证支持 OV 验证，可以覆盖主域名下的无限分支，同时支持多域名扩展（SAN），灵活度比较高。对于二级地址数量多、希望统一管理的企业来说，是一个值得考虑的选择。