给一家做户外装备的外贸公司规划证书时，对方一口气报了四个域名：主站、商城、博客，还有一个准备用在独立站的备用域。销售第一反应是买四张证书，我拦了一下，先把SSL证书安装之外的选型功课做完，一年能省下不少冤枉钱。
多域名证书：不同域名打包进一张
多域名证书（SAN证书）可以把几个完全不同的域名写进同一张证书里，比如example.com、example.net、shop.net同时受保护，适合公司持有多个品牌域名的场景。缺点是增删域名要走重新签发流程，站点结构经常变的团队会觉得麻烦。
补充一个实操细节：SAN证书在续期时，任何一个域名变更都要求整张重新签发。也就是说四个域名里随便一个过期没续费、一个解析被改，都会牵连另外三个域名的站点。买了SAN证书的团队，域名到期日和证书到期日要放进同一张日历里管。
通配符证书：一个主域下随便加子域
通配符证书保护同一主域下所有一级子域，一张*.example.com搞定mail、shop、api。业务在扩张期、子域会不断冒出来的公司，通配符几乎不用动证书。它的验证一般要求DNS方式，对DNS管理权限有点要求。
通配符还有个限制要提前知道：它只保护一级子域，a.b.example.com这种二级子域不在保护范围内。业务结构里有二级子域的，要么再补一张证书，要么在架构上把服务收敛到一级子域。
- 两三个固定域名、不常变：SAN证书，按张计费最直观
- 子域多、长得快：通配符一张顶N张
- 只有一个官网域名：单域名证书最便宜，别多花钱
价格与续期的账
以主流品牌参考：单域名DV几十到两百一年，SAN证书按域名数量加价，通配符证书从一千出头到两千多。三张以上单域名的总价往往追平甚至超过一张通配符，别忘了还有续期的人力成本——证书越零散，每年要操心的次数越多。
免费方案也不是完全没份：Let's Encrypt本身支持一张证书里写多个域名，也支持通配符，等于把SAN和通配符都免费化了，代价还是那个老问题——九十天一续加DNS验证，自动化要求更高。预算敏感、技术在线的团队可以直接走这条路。
买之前再确认两件小事：服务商是否支持不限次数的免费重签，中途加域名只收差价；退款政策也看清楚，SAN证书签发后一般不退。这两条问明白，后面换站、扩容都从容。
建议
选型前画一张域名清单，标出未来一年确定要上线的子域，再决定买哪种。拿不定主意的把域名列表发给比格网络，我们按SSL证书安装和三年续期的总成本帮你比一遍，选错类型返工的成本比证书费本身高得多。
