【導(dǎo)讀】免費(fèi)多域名證書不是萬能膠布，也不是永久免檢通行證。它適合測(cè)試環(huán)境、中小官網(wǎng)、內(nèi)部管理系統(tǒng)等低風(fēng)險(xiǎn)場(chǎng)景，但在支付跳轉(zhuǎn)頁或金融后臺(tái)必須謹(jǐn)慎評(píng)估。

什么是免費(fèi)多域名證書？它和普通單域有什么區(qū)別？
免費(fèi)多域名證書本質(zhì)仍是DV型SSL證書，核心差異在于「Subject Alternative Name」（簡(jiǎn)稱 SAN）字段容量更大。

- 單域名證書：只能寫 example.com 或 www.example.com 中的一個(gè)；
- 免費(fèi)多域名證書：可在同一張證書里列出多個(gè)FQDN，比如 api.example.com、shop.example.com、admin.testsite.net；
- 注意：*.example.com 這種通配符屬于單獨(dú)類別，絕大多數(shù)免費(fèi)CA不允許與常規(guī)域名混在同一張證書中。
目前主流開源ACME客戶端（如 acme.sh、certbot）默認(rèn)支持最大100個(gè)SAN條目，超出需手動(dòng)分割申請(qǐng)或多賬戶協(xié)同。

哪些情況最適合用免費(fèi)多域名證書？
我們梳理了三類高性價(jià)比應(yīng)用場(chǎng)景：

- 開發(fā)聯(lián)調(diào)階段：前端Vue工程啟用了dev-server代理到多個(gè)mock API地址，一次性綁齊 localhost、127.0.0.1 及各模擬子域；
- SaaS租戶門戶：每個(gè)客戶分配 sub.tenant-a.com/sub.tenant-b.com 形式的二級(jí)域名，初期幾十家試運(yùn)行期無需逐個(gè)買證；
- 教育/政府臨時(shí)活動(dòng)站群：運(yùn)動(dòng)會(huì)專題、招生報(bào)名通道、政策宣講微站等多個(gè)短期項(xiàng)目共享一套Nginx反向代理出口。
上述情形共同特點(diǎn)是生命周期短、訪問量有限、無交易行為，正好契合免費(fèi)產(chǎn)品的設(shè)計(jì)初衷。

別踩這幾個(gè)隱藏雷區(qū)
看似省錢的背后藏著幾處容易忽略的風(fēng)險(xiǎn)點(diǎn)：

- ACME頻率限制嚴(yán)苛：Let’s Encrypt規(guī)定每臺(tái)注冊(cè)郵箱每月最多申請(qǐng)50張證書，一旦超限將封禁3小時(shí)；
- DNS驗(yàn)證失效快：若某個(gè)綁定域名DNS記錄被意外清除，整張證書將在下次續(xù)訂時(shí)報(bào)錯(cuò)失敗，影響其余有效域名；
- 不支持OCSP Must-Staple標(biāo)記：意味著瀏覽器無法強(qiáng)制依賴實(shí)時(shí)吊銷狀態(tài)查詢，弱化抗泄露能力；
- 缺乏專屬客服通道：遇到CAA策略沖突或CNAME繞過異常時(shí)，僅能查文檔+社區(qū)提問，響應(yīng)周期不確定。
因此，凡涉及用戶登錄態(tài)持久保存、訂單提交回調(diào)URL、第三方OAuth授權(quán)回調(diào)地址的服務(wù)，都不建議長(zhǎng)期依賴免費(fèi)多域名證書承載。

怎樣科學(xué)規(guī)劃你的免費(fèi)多域名證書使用節(jié)奏？
要想既節(jié)省預(yù)算又保障穩(wěn)定，關(guān)鍵是做好三點(diǎn)統(tǒng)籌：

提前歸集所有待保護(hù)域名清單，剔除已廢棄或即將遷移的老路徑；
按功能屬性劃分組別（如API組、前臺(tái)展示組、管理后臺(tái)組），每組各自申請(qǐng)專用證書而非一股腦塞滿上限；
設(shè)定自動(dòng)巡檢機(jī)制：每周掃描一次證書剩余天數(shù) + 各域名HTTP可達(dá)性 + OCSP響應(yīng)碼是否為200；發(fā)現(xiàn)預(yù)警信號(hào)立刻人工介入干預(yù)。
另外強(qiáng)烈建議開啟Auto-Renewal并搭配郵件告警通知，防止因crontab失靈導(dǎo)致凌晨大面積HTTPS中斷。

有沒有更好的過渡方案？
如果你正處于快速增長(zhǎng)期，面臨如下狀況：

- 年度新增子域數(shù)量持續(xù)＞30個(gè)；
- 已開始接入支付寶/微信JS-SDK等對(duì)外開放能力；
- 法務(wù)提出需提供季度滲透測(cè)試報(bào)告佐證傳輸層加固措施；
那么可以考慮漸進(jìn)式升級(jí)路線：
第一階段繼續(xù)沿用免費(fèi)多域名證書支撐非核心鏈路；
第二階段為核心業(yè)務(wù)線采購OV級(jí)別多域名證書（支持公司名稱顯示+更高保險(xiǎn)額度）；
第三階段構(gòu)建自有PKI體系，實(shí)現(xiàn)內(nèi)網(wǎng)服務(wù)間mTLS通信全覆蓋。
這樣既能控住前期投入，又能預(yù)留合規(guī)躍遷空間。