Wildcard SSL: один уровень поддоменов и проверка DNS

Составьте перечень адресов до выбора сертификата. Например, shop.example.com и api.example.com отличаются от example.com и api.shop.example.com. Звездочка в одном имени не означает, что все эти варианты автоматически входят в сертификат.

Что покрывает звездочка

7 октября 2026 прочитан RFC9525: wildcard допускается как полная крайняя левая метка и сопоставляется только с одной меткой имени. Это не правило DNS wildcard и не покрытие нескольких уровней.

Для примера *.example.com соответствует shop.example.com, но не корневому example.com и не api.shop.example.com. Нужные отдельные имена можно рассматривать отдельно; их наличие подтверждается реальным сертификатом, а не только названием продукта.

Подтверждение домена

Let's Encrypt допускает wildcard через DNS-01. HTTP-01 для этого не подходит. До автоматизации уточните, кто управляет нужной DNS-зоной и какие ограниченные права предоставляет интеграция.

Не размещайте полный административный секрет DNS на веб-сервере без оценки риска. Минимальные права и отдельная точка подтверждения рассматриваются с администратором. Здесь записи и права API не создавались и не менялись.

Ключ и несколько площадок

Если один сертификат обслуживает несколько точек, нужно согласованное хранение и применение. Копирование закрытого ключа расширяет область риска; наличие wildcard не делает любое распространение безопасным.

Проверьте, какие точки действительно используют сертификат и кто обновляет их при продлении. Один успешно открытый поддомен не результат проверки всех остальных. Цена wildcard и дополнительные услуги конкретных провайдеров здесь неизвестны.

Это разбор имен, не выполненный нами выпуск или нагрузочный тест. Для результата используйте проверку SSL, а продление отделите от первого подтверждения домена. Обычный сертификат с явно перечисленными именами может решать другую задачу без общего победителя.