泛域名（通配符 Wildcard SSL）申请
格式：
*.domain.com，保护xxx.domain.com所有一级子域名；不能跨级 ，*.a.domain.com只能保护二级子域名。 ✅ 重点：泛域名证书只能使用 DNS TXT 验证，HTTP 文件验证不支持泛域名华为云
一、需要准备材料（按证书类型区分）
DV 泛域名（域名验证，最常用，JoySSL/DigiCert/Sectigo）
只需要域名控制权，不需要企业执照
-
已注册、正常解析的主域名
domain.com，域名 DNS 后台账号密码（Cloudflare / 阿里云 DNS 等） -
联系人信息：姓名、邮箱、电话
-
CSR（证书请求文件，二选一）
- 平台自动生成 CSR + 私钥（推荐，私钥由平台保管，下载使用）
- OpenSSL 手动生成 CSR，私钥自己本地保管，不要发给 CA
签发：几分钟～10 分钟，个人 / 小微企业生产环境都能用JoySSL
OV 泛域名（组织验证，企业业务，客户看证书显示公司名称）
DV 全部材料 + 企业资质
- 营业执照（清晰扫描件）
- 企业固定座机号码（CA 会电话核验企业）
- 企业地址、完整公司名称（必须和执照完全一致）
审核：1～3 个工作日，适合对公业务、合规项目 ❗ EV 证书不支持泛域名，EV 只能单域名
免费泛域名（Let's Encrypt / JoySSL 免费通配符）
- 域名 + DNS 管理权限
- acme.sh/certbot 工具，或者 JoySSL 平台账号
Let's Encrypt 有效期 90 天，必须自动化续签；只能 DV，无赔付保障Let's Encr...
二、完整申请流程（付费商用 DV 为例，JoySSL/DigiCert 通用）
-
平台下单：选择通配符 / Wildcard SSL ，填写域名
*.domain.com；可选 RSA/ECC/SM2 国密算法 -
填写申请联系人，选择 CSR 生成方式
-
提交订单，进入DNS 验证（DCV）
- CA 给出一条 TXT 记录：主机记录
_dnsauth/_acme-challenge+ 一串随机值 - 登录域名 DNS 解析后台，新增 TXT 记录
- 等待 DNS 全球生效（5--30 分钟，可 nslookup 校验）
- CA 给出一条 TXT 记录：主机记录
-
CA 校验 TXT 记录，验证通过直接签发证书
-
下载证书包：fullchain.pem（证书链）、priv.key（私钥），还有 Nginx/Apache/IIS/Tomcat 等不同服务器格式
-
部署到服务器 / CDN/WAF，配置 HTTPS
OV 版本在 DNS 验证后，CA 会人工核验企业信息、拨打座机确认，完成组织审核才签发。
三、CSR 生成命令（OpenSSL，手动生成私钥 + CSR）
openssl req -newkey rsa:2048 -nodes -keyout wildcard.key -out wildcard.csr
- wildcard.key：私钥，绝密，不要上传、不要发给 CA
- wildcard.csr：提交给 CA 的申请文本
四、关键注意事项
- 覆盖范围：
*.domain.com不包含根域名 domain.com 。如果同时要保护根域名，下单时增加 SAN：*.domain.com, domain.com（多域名泛域名证书） - DNS 生效：国内 DNS 解析缓存大，建议用 Cloudflare 做 DNS，解析秒生效；TXT 记录验证完成后可以删除
- 私钥安全：私钥泄露 = 证书作废，需要吊销重签
- 证书吊销：域名所有权变更、私钥泄露，可在平台发起吊销
- 国密 SM2 泛域名：JoySSL、CFCA 等国内 CA 支持，适合信创内网、国密浏览器场景JoySSL
五、选型快速参考
- 测试、内部系统、大量子域名：Let's Encrypt acme.sh 自动续签（90 天）
- 企业生产、稳定性优先、需要赔付：DV 付费泛域名（JoySSL/DigiCert）
- 对外官网、需要浏览器展示企业主体：OV 泛域名