不少公司由于业务发展，对主域名下新开了二级子域名，有访客咨询本站一个主域名下面又开了四个新网站，怎么选SSL证书？其实这种情况SSL证书不用逐个买，四个子域名如果处在同一层级，用一张通配符证书就可以了，五个网站的地址能一起覆盖，以后即使再添同层级的子域名，添加一个域名即可。
把这五个网址换成五个独立主域名，推荐就变了：这时候就要选多域名SSL证书，把要使用的名称分别列进去。通配符照顾的是同一主域名下面的一组名称，多域名证书则能把不同主域名放到一起。
主域名加四个同层级子域名，推荐通配符证书
比如，公司的五个网站使用下面这组地址。所有地址均为示意：
example.com
www.example.com
shop.example.com
news.example.com
help.example.com
www、shop、news、help这四个前缀处在同一个位置，把它们统一换成星号，就能写出这组网站需要的通配符名称：
*.example.com
申请范围应当同时列明主域名与这个通配符名称，少了前者，主域名的HTTPS访问就无法使用这张证书。有的通配符产品会把主域名一并加入，这样五个网站就齐了；如果产品没有包含，便需要把主域名也加入覆盖名单。
日后公司再开一个博客，把前缀定为blog，接在同一个主域名下面，名称仍然符合这一组通配符规则。只要新网站的部署环境能使用这张证书，就可以继续配置原有证书，不必为了新增这个前缀重新申请。
如果五个网站长期不变，多域名证书逐个列出这五个名称也能覆盖，并非技术上做不到。不过，对“一个主域名加四个同层级子域名”这组需求，推荐优先比较包含主域名的通配符方案，尤其是以后还准备继续开子网站时。实际报价也要按同样的覆盖范围比较，不能拿只含星号、不含主域名的方案直接代替。
五个独立主域名，换成多域名SSL证书
假如换一种安排：公司为五个网站分别使用了独立主域名，五个名字之间没有主子关系。这时推荐把它们汇总在多域名SSL证书中，申请时逐一加入，并完成相应的域名控制权验证。
两个地址就能看出这类区别：
example.com
example.net
虽然前面的example拼写相同，它们仍是两个独立主域名。一组通配符不能跨过去同时覆盖，五个独立主域名也是如此。公司名称、网站标志或者页面设计相同，都不会让域名产生从属关系。
给服务商的清单要写五个完整域名，不能只填公司名称和“五个网站”。网站放在同一台服务器，或分布在不同服务器，不会改变名称覆盖的要求；证书怎样部署，则要与相应服务器或托管服务的功能对应。
还要问一句：每个网站是否同时保留带www和不带www的入口？五个网站都保留这两种入口时，申请表上就会出现十个名称。拿其中一个网站来说，两种写法应当都在清单里：
example.net
www.example.net
即使其中一个入口只负责跳转，只要它接收HTTPS访问，证书仍要包含这个名称。浏览器会先建立加密连接，之后才收到跳转信息，不能用“反正会跳过去”省掉一个需要覆盖的入口。
询价时按完整清单报需要的名称数量，也问清将来新增第六个网站时，原产品能否追加，以及追加后怎样重新签发和部署。这些条件会影响长期使用，但不改变这五个独立主域名适合多域名方案的结论。
五个网站分属两个主域名，固定地址用多域名证书
现实里的五个网站，也可能是这样的组合：
example.com
shop.example.com
help.example.com
example.net
news.example.net
眼前这五个地址如果就是公司的全部站点，推荐申请多域名SSL证书，五项照填。申请表允许主域名和子域名放在同一份清单里，不必看到子域名就另开一单。这里用两张通配符证书也能完成配置，只是额外预留的名称目前用不到。日后又不准备增加网站时，逐项列明的多域名方案已经够用。
如果两组网站今后都准备继续扩展，可以比较支持多域名通配符的产品。申请清单会变成下面四项：
example.com
*.example.com
example.net
*.example.net
清单保留了两个主域名，又为它们各自加上一组通配符。两个星号各管一边，删掉哪一组，另一组都不能替它补上；没有星号的两个主域名也应保留。
有些证书颁发机构（CA）或服务商提供这样的多域名通配符产品，有些产品允许在同一份证书中混合确切域名和通配符。比较时把要包含的名称交给对方，确认该产品支持相应组合，而不是只凭“多域名”三个字推断它一定接受星号。
域名组合选完，再决定要不要企业身份审核
选型清单还可以加一栏：公司是否需要在证书中记录经过核验的组织身份。这一栏会影响DV、OV、EV的选择，与前面的域名组合分开填写。
没有组织身份核验要求时，企业也能申请DV方案，CA核验的是申请方对相应域名的控制。免费证书中也有支持多域名或通配符的选择，覆盖多少名称，要看证书实际支持什么，不能只看是否收费。
公司如果还要求核验组织身份，并在证书里留下相应信息，可以考虑OV。例如第一组网站可以配OV通配符SSL证书，换成独立主域名组合时，则比较相应的OV多域名产品。提出同样的公司身份审核要求，也能按实际网址选择不同的覆盖方式。
EV实行更严格的组织身份审核，但它不是“五个网站就该选”的升级档，也不因为名称听起来更高级，就能省掉域名范围的选择。具体产品是否支持所需的覆盖方式，需要另外确认，不能把所有认证级别和覆盖类型任意组合。
DV、OV、EV本身也不代表网页加密强度从低到高排列。采购表里可以把两项需求并排写：一栏写要不要核验公司身份，另一栏列五个网站使用的网址。勾选了OV，也还得把域名填齐。
拿着五个网址去询价，可以把话说得具体些：“这四个都是同层级子域名，我们想用通配符，主域名也一起保留。”换成五个独立主域名，就把完整清单交给对方，请对方按多域名方案报价。将来还要开哪些子网站，也在这次沟通里说明，扩展范围才有办法一起比较。
