子域名证书怎么申请部署？SSL证书对子域名有哪些安全保障作用？

子域名证书本质上就是一张SSL证书，但它的价值必须放在“多子域名场景”里才算完整，选型核心就一句话：子域名数量不多且能确定固定几个，就买单域名证书；子域名数量多、还会不断新增，就买泛域名证书。

子域名证书是什么？它到底解决什么问题

子域名证书不是某种特殊的证书类型，而是从使用场景出发的一个统称，它的标准叫法是“SSL证书”，只不过签发对象是某个具体子域名，store.example.com、api.example.com，当你手上只有一两个子域名需要加密时，为每个子域名单独买一张证书,这就是子域名证书的典型用法。

很多网站管理员在搭建多站点时会遇到一个真实现状：每个子域名都绑定了不同的业务系统，

• shop.example.com 承载商城
• blog.example.com 承载内容
• api.example.com 给小程序提供接口
• m.example.com 做移动端适配

如果这些子域名都需要HTTPS访问，就面临两种选择：要么给每个子域名分别申请一张证书，要么直接买一张通配符证书一次性覆盖，前者就是本文要说的“子域名证书”路线,后者叫泛域名证书。

为什么不能用一个主域名证书搞定所有子域名

SSL证书的加密范围是严格受域名列表约束的，一张只包含 example.com 的证书，访问 shop.example.com 时会直接报证书错误，浏览器地址栏会提示“不安全”，用户点击进入后看到红屏警告，流量就会流失，这是行业内最基础的共识,也是子域名证书存在的理由。

子域名证书和单域名证书是什么关系

子域名证书就是单域名证书的一种落地形态，多数情况下你买一张单域名证书，填写的域名就是某个子域名，它们之间的唯一区别在于使用语境单域名证书强调的是“只保护一个域名”的属性，子域名证书强调的是“我买来就是给子域名用的”这个意图。

子域名证书和泛域名证书的区别，到底该怎么选

这是搜索“子域名证书”的人问得最多的问题,两者的差异直接决定了预算和管理成本。

子域名数量少时，分头买证书更划算

如果你只有两三个子域名，比如一个前台官网、一个后台管理系统，各自买一张单域名证书反而是更务实的做法,原因很直接：

• 通配符证书价格通常是单域名证书的3到5倍
• 两张单域名证书的总价可能还低于一张泛域名证书
• 子域名长期不变，不需要为不确定性支付溢价

子域名增多后，泛域名证书的管理优势显现

做SaaS服务的企业感受最深，每个客户分配一个独立子域名，clientA.example.com、clientB.example.com，今天新增客户、明天关闭服务，如果用单域名证书，意味着每次上下线都要走一遍申请、签发、部署流程,运维负担是持续增长的。

行业共识认为，子域名超过5个且后续还会增加时，泛域名证书的综合成本低于逐个买子域名证书，这个判断的依据不是证书本身的售价,而是人工维护时间。

子域名证书多少钱？不同品牌差价在哪

价格问题是企业采购时最敏感的，子域名证书价格区间跨度较大，主要受三个因素影响：CA品牌、证书类型、购买年限。

品牌决定信任级别

• 国际知名品牌：DigiCert、Sectigo、GlobalSign，价格较高，浏览器兼容性表现稳定，广泛适用于电商、金融、政府类网站
• 国内知名品牌：CFCA、上海CA等，价格亲民，适合企业官网、内部系统
• 免费证书：Let’s Encrypt，价格为零，适合个人博客、测试环境、短期项目

证书类型决定价格档位

• DV证书（域名验证）：百元级别，只验证域名所有权，签发快，适合个人站点和内部系统



• OV证书（组织验证）：千元级别，验证企业身份，地址栏显示公司名称，适合企业官网和对外业务系统
• EV证书（扩展验证）：数千元起步，最严格的审查流程，地址栏显示绿色公司名，适用于金融支付类场景

购买策略影响实际支出

多数CA机构对多年期订单有折扣。一次买两年的均价通常比按年续费便宜10%到15%，国内服务商（如简米云、酷番云）经常有促销活动，部分品牌DV证书能以较低价格入手，但续费价格会回到原价,采购时建议看清楚续费条款。

对于“子域名证书多少钱”这个问题，参考区间是：DV单域名几十到两百元区间，OV单域名几百到上千元，EV单域名数千元,具体成交价取决于采购渠道和活动力度。

子域名ssl证书怎么申请？从生成CSR到部署完整流程

申请流程听起来专业，实际操作起来并不复杂，以最常见的nginx服务器为例,完整走一遍流程。

第一步：生成私钥和CSR文件

登录服务器,执行以下命令：

openssl req -new -newkey rsa:2048 -nodes -keyout shop.example.com.key -out shop.example.com.csr

命令执行后，系统会交互式询问国家、省份、城市、公司名称等信息，按实际情况填写，如果买的是DV证书，这些信息不影响签发；如果是OV或EV证书,填写的公司信息必须和营业执照保持一致。

第二步：提交CSR并完成验证

将生成的 .csr 文件内容复制到证书服务商的订单页面，提交后进入验证环节,DV证书通常提供两种验证方式：

• DNS验证：在域名的DNS解析记录里添加一条指定的TXT记录
• 文件验证：在网站根目录下放置CA机构指定的验证文件

DNS验证更推荐，尤其是子域名还有其它业务在跑的情况,不用动服务器文件。

第三步：下载证书并配置nginx

证书签发后，CA会提供一份证书文件，将证书和私钥上传到服务器,推荐路径：

/etc/nginx/ssl/shop.example.com.pem
/etc/nginx/ssl/shop.example.com.key

然后在nginx配置文件中添加或修改server块：

server {
    listen 443 ssl;
    server_name shop.example.com;
    ssl_certificate /etc/nginx/ssl/shop.example.com.pem;
    ssl_certificate_key /etc/nginx/ssl/shop.example.com.key;
    root /var/www/shop;
    index index.html;
}

保存配置后检查语法并重载：

nginx -t
systemctl reload nginx

第四步：验证部署结果

使用浏览器直接访问 https://shop.example.com，地址栏显示小锁图标即说明部署成功,也可以在服务器上用curl验证：

curl -I https://shop.example.com

返回 HTTP/2 200 且没有证书错误，就是正常的，这一步要特别关注证书链是否完整，部分服务商下载的证书包里包含中间证书文件，需要一并配置到 ssl_certificate 指令中。

子域名证书选型建议，结合预算和业务阶段

选哪种方案不是越贵越好,关键看业务处于什么阶段。

个人开发者或小型项目

优先考虑免费证书，Let’s Encrypt通过acme.sh脚本可以自动续期，子域名部署成本几乎为零，缺点是90天续期一次,但自动化配置好以后完全不需要人工干预。

中小企业官网或电商系统

推荐OV单域名证书，子域名数量不多时逐个购买，兼顾安全性和企业可信度，如果已经有多个子域名且计划扩展，建议直接上泛域名证书，部署一次，后续新增子域名零成本。

大型平台或金融支付业务

EV证书是加分项，地址栏直接显示公司名，能显著提高用户信任度，业内专家指出,金融交易类网站的转化率和地址栏品牌展示呈现正相关关系。

子域名证书常见问题解答

子域名证书需要备案吗

服务器在大陆地区需要ICP备案，但这和是否为子域名证书无关只要服务器部署在国内机房，无论什么类型的SSL证书都要求域名备案,服务器在海外则不需要。

子域名证书能保护其他子域名吗

不能，单域名证书的覆盖范围严格限定在签发时指定的那个域名，如果想让 api.example.com 和 m.example.com 共用一张证书，要么把两个域名都写进一张多域名证书里,要么改用泛域名证书。

免费的子域名证书能用吗

能用，Let’s Encrypt等免费CA签发的DV证书，加密强度与付费证书完全一致，浏览器同样显示HTTPS锁标，区别在于：不提供组织身份验证、有效期短、部分老设备兼容性略差，对于个人博客、测试环境、内部系统,免费证书是性价比较高的选择。