泛域名证书为什么不覆盖主域名

*.example.com 覆盖 www.example.com、api.example.com、shop.example.com，但不覆盖 example.com 本身。这不是某家 CA 的限制，是通配符证书的匹配规则（RFC 6125）：通配符只能出现在最左边的那一段，而且只匹配一段。

所以典型症状是：所有子域名都好，唯独直接访问主域名报证书错误。看起来像 DNS 出了问题，实际是证书少签了一个名字。解决办法是把 example.com 和 *.example.com 一起签进同一张证书。

匹配规则：一颗星等于一段

顺带说一个容易被忽略的点：现在的浏览器只看 SAN（Subject Alternative Name）列表，证书里的 CN 字段自 Chrome 58 起就被忽略了。所以「CN 写的是 example.com，应该能用」这个判断不成立 —— 域名必须出现在 SAN 里。

为什么 301 跳转救不了

很多人第一反应是「我在服务器上把 example.com 跳到 www 就行了」。这条路走不通，原因是顺序：

1. 浏览器先和 example.com 建立 TLS 连接。
2. 服务器发来一张不包含 example.com 的证书。
3. 浏览器在这里就中止了，并显示证书错误。
4. 你写的那条 301 在 HTTP 层，属于第 4 步 —— 永远轮不到它执行。

怎么看自己的证书覆盖了哪些域名

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -ext subjectAltName

# X509v3 Subject Alternative Name:
#     DNS:*.example.com, DNS:example.com

上面这个输出是正确的样子 —— 两个名字都在。如果只有 DNS:*.example.com 一个，那就是本文说的情况。

正确的签法

把两个名字签进同一张证书。不需要两张证书，也不需要额外费用：

# 一张证书，两个 SAN
example.com
*.example.com

在本站免费签发时这是默认行为 —— 勾选泛域名，基础域名会一起签进去，正是因为这个坑太常见。用 certbot 的话，两个名字都要写出来：

certbot certonly --manual --preferred-challenges dns \
  -d example.com -d '*.example.com'

多级子域名怎么办

a.b.example.com 需要 *.b.example.com，*.example.com 覆盖不到它。层级多的时候，把每一层的通配符都签进同一张证书：

example.com
*.example.com
*.b.example.com