随着业务不断扩张，官网、商城、API 网关、测试环境、H5 活动页，企业对外服务的子域名越来越多，证书数量也随之膨胀。本文聊聊如何用通配符证书加自动化管理，把证书数量从 N 降到 1，并让续期不再依赖人工。

子域名爆发式增长，证书管理为什么会越来越难

每上线一个新业务，往往就多一个子域名；每个子域名又需要一张 SSL 证书来启用 HTTPS。十个子域名是十张证书，五十个子域名就是五十张证书，数量增长几乎没有上限。

更麻烦的是，每张证书都有自己的有效期、部署位置和加载方式，到期时间各不相同。一旦某张证书忘记续期，浏览器就会向用户提示”不安全”，直接影响品牌信任与业务转化。服务器越多、节点越分散，追踪难度就越大。

通配符证书：一张证书覆盖所有子域名

通配符证书保护的是主域名下的所有同级子域名。例如为 *.example.com 签发一张通配符证书，a.example.com、api.example.com、b.example.com 等子域名都受同一张证书保护。

它的价值有两点：存量子域名的证书可以统一收敛，几十张合并为一张；新增子域名时无需再申请证书，部署时直接复用即可，业务上线不再被证书申请流程拖住。证书数量从 N 到 1，申请、部署、续期的工作量也随之大幅下降。

证书少了，为什么还要自动化管理

有人会想，证书只剩一张，手动管理不就够了？现实并不乐观。根据 CA/B 论坛新规，2026 年 3 月 15 日起，全球新签发的 SSL 证书最长有效期不得超过 200 天；2027 年 3 月 15 日起将进一步缩短至 100 天，未来还可能缩短到 47 天。

有效期越短，续期越频繁。从一年一次变成一年多次，只要续期仍依赖人工完成申请、验证、部署和服务重启，就始终存在延误与操作失误的风险。手动模式应付得了一时，应付不了越来越短的证书生命周期。

自动化管理：让续期从人工操作变成自动巡航

成熟的自动化方案可以覆盖证书的全生命周期。以沃通 SSL 证书自动化方案为例，核心由三大产品组成：沃通 CertBot 负责执行，沃通 CAC 负责管理，沃通 CaaS 负责服务。

沃通 CertBot 是部署在目标服务器上的自动化执行器，一站式完成证书申请、验证、自动化续期、部署和服务加载，无需人工值守；沃通 CAC 是证书自动化控制台，通过可视化界面集中配置、调度和查看多个 CertBot 的证书任务，并与生产服务器保持隔离；沃通 CaaS 则以”证书即服务”理念提供生命周期编排、统一 API、任务治理和多系统连接能力，可对接沃通 CMS、证书体系与云厂商 API。

部署形态上也有两种选择：证书数量少、环境简单时，可采用沃通 CertBot 加沃通 CaaS 的轻量化部署，快速上线；业务系统多、分布在本地与云环境的复杂场景，则适合沃通 CertBot、沃通 CAC、沃通 CaaS 组合的增强版部署，实现批量操作、统一查看与任务编排。

通配符证书解决的是”证书数量”问题，自动化管理解决的是”续期频率”问题，两者结合，才是应对子域名增长与证书有效期缩短的完整答案。

与其在到期日前手忙脚乱，不如尽早完成证书收敛与自动化改造，让仅有的这张证书也能无缝、零中断地完成每一次续期，把运维精力还给业务本身。