通配符证书只覆盖一级

*.example.com 匹配 www.example.com、api.example.com，但不匹配：

• example.com 本身（根域要单独加）。
• a.b.example.com（多级子域）。

这是 RFC 6125 的规定，不是实现差异。

所以签证书时把根域和常用子域一起写进 SAN：

certbot certonly --standalone -d example.com -d www.example.com -d '*.example.com'

注意通配符证书只能做 DNS-01 验证，不能 HTTP-01——因为验证服务器会随机选一个子域去访问，你没法预先配置。

另一个坑：通配符证书一旦泄露，影响面是所有子域，密钥管理要比单域名证书更小心。