很多企业运维、采购在 HTTPS 改造时都会踩同一个坑：分不清 SAN 多域名证书和泛域名（通配符）证书，要么为了省事盲目上泛域名多花钱，要么域名越扩越多、不断追加 SAN 附加域名费，长期下来溢价远超预期。
SSL 证书的加密强度、浏览器信任链，同验证等级下没有高低之分，溢价大多来自产品形态、计费规则、代理层层加价、商家刻意混淆概念。本文把选型逻辑、计费套路、比价方法一次性讲清楚。
一、先分清两个核心概念：SAN 多域名 vs 泛域名（通配符）
1. SAN 多域名证书（UCC 证书）
一张证书内写入多条独立域名，域名之间可以毫无关系，例如：a.com、b.com、c.brand.cn、api.test.org腾讯云。
- 计费规则：基础包包含固定数量域名，超出配额，每新增一个域名单独加价，这是最大的溢价来源；
- 适合：域名分散、属于不同主域，域名清单长期固定、很少新增；
- 限制：新增域名需要重新提交订单、重新签发证书，不能自动覆盖未知子域名。
举个例子：集团有 3 个独立品牌官网，域名完全不相关，一共 4 个域名，短期内不会新增站点，优先选 SAN 多域名。
2. 泛域名（通配符证书 *.domain.com）
*.domain.com 保护 domain.com 下所有一级子域名 ：www.domain.com、api.domain.com、admin.domain.com、open.domain.com，子域名数量不限，新增子域名不需要重新申请证书。
- 计费规则：一口价，和子域名数量无关；但一张通配符只覆盖一个主域的一级子域名 ；不支持
*.*.domain.com双层通配； - 适合：同一主域下子域名持续新增，城市分站、接口、后台、测试站不断上线；
- 短板：多个完全不同主域，一张普通泛域名证书包不住。
3. 还有一种高阶组合：多域名通配符 SAN 证书
证书列表里面同时放多个*.shturl.，例如同时包含*.a.com、*.b.com。 ⚠️ 这类产品单价极高，只有集团多业务线、每条线都有大量子域名才考虑，绝大多数中小公司根本不需要，也是商家主推的高溢价产品。
快速选型口诀
- 域名属于多个不同主域、数量固定 → SAN 多域名证书
- 同一个主域，子域名持续新增、数量不确定 → 单通配符证书
- 多个独立主域，每个主域下面又一堆子域名 → 方案对比：多张独立泛域名 VS SAN 通配组合，一般前者更便宜、风险隔离更好
- 只有 2～3 个固定子域名、后续不加新子域 → 不要买泛域名，直接 SAN 更省钱
误区纠正：很多销售会告诉你 "子域名多就一定要泛域名"。如果你的子域名清单半年都不变，3 个以内，SAN 证书往往比泛域名便宜很多。
二、市场上最常见的 5 个溢价陷阱
陷阱 1：SAN 证书 "基础包低价，附加域名天价"
这是行业最普遍套路。 报价写 "多域名证书 400 元起"，仔细看：只包含 3 个域名，每多加一个域名加收几百元。 有些国际品牌附加域名单价甚至接近一张独立单域名证书的价格。当你后续业务扩张，每新增一个 API、后台域名，都要额外付费 + 重签证书，长期成本会被逐步拉高。
✅ 避坑方法：比价时不要看基础价，要看【总域名数量总价】 。 比如你一共需要 6 个域名，直接问：6 域名 SAN 包年总价，而不是 3 域名基础价 + 3 个附加域名。
陷阱 2：混淆 DV/OV 等级，强制升级 OV 赚差价
DV 只验证域名所有权，自动 DNS 验证，几分钟签发；OV 需要核验企业营业执照、电话回访，人工审核，价格通常是 DV 的 2～4 倍。 很多销售话术："企业必须 OV，DV 不安全、浏览器不信任"。 事实：DV 和 OV 加密算法一致、浏览器锁标一致；差别只是证书详情里是否展示企业名称。
- 内部接口、测试环境、小程序后端、纯 API：DV 足够；
- 面向 C 端收款、品牌官网、需要对外展示企业资质：再上 OV。 不需要 OV 的场景，被强行推 OV，就是纯溢价。
陷阱 3：首年特惠引流，第二年续费暴涨
大量渠道首单折扣力度很大，首年低价，续费恢复原价，甚至涨价 30%~100%，采购只看首年预算，忽略多年 TCO 总成本。 免费证书（Let's Encrypt）90 天有效期，频繁续期、无售后，适合测试，不适合业务核心站点稳定运维。
✅ 避坑：询价时直接确认连续多年续费同价，拿到续费价，而不是只看首年活动价。
陷阱 4：品牌溢价神话，盲目追捧国际大牌 DigiCert/GlobalSign
同等 DV/OV 等级、ECC/RSA 加密、国内 OCSP 节点，国产合规 CA 证书兼容性、根信任链完全满足国内浏览器、微信、小程序、APP 校验，价格普遍低 30%-50%。 国际品牌优势是海外极端老旧终端兼容；如果你的客户主要在国内，普通业务场景，溢价没有实质收益。
不是国际大牌不好，是很多场景溢价不值得。
陷阱 5：捆绑增值服务收费，部署、CSR 生成、重签单独收费
不少代理商把基础服务拆分：CSR 生成、证书链文件、Nginx 配置指导、重签次数、工单支持单独收费。 正规渠道：证书有效期内无限免费重签、免费提供证书链、基础技术支持包含在内。
三、一套标准化比价流程，不被销售带节奏
拿到需求，按这个顺序梳理，再询价：
-
整理完整域名清单，区分：
- 独立主域名（完全不同域名）
- 同一主域下的一级子域名，评估未来 1 年是否新增
-
定验证等级：DV / OV，非必要不选 EV（EV 证书现在极少场景需要，溢价极高，浏览器也不再展示绿色地址栏）
-
输出 2 套方案比价：
- 方案 A：SAN 多域名证书（按全部域名打包报价）
- 方案 B：对应数量的泛域名证书（如果域名收敛在少数主域）
-
明确合同内约束项，白纸黑字确认：
- 每年续费价格，是否逐年涨价
- 有效期内免费重签次数（理想是不限次）
- 是否包含完整证书链（很多低价包只给 crt，不给中间链，导致部分浏览器报不安全）
- 验证方式：支持 DNS TXT 验证（通配符必须 DNS 验证，不支持文件验证）
- 算法选择：优先 ECC，加密效率更高、证书体积更小；RSA 兼容老旧设备
-
风险隔离考量： 一张 SAN 证书绑定十几个域名，一旦证书被吊销，所有域名同时 HTTPS 失效。 业务隔离要求高的项目，宁愿分开多张证书，牺牲一点管理便捷性，降低单点故障风险，这是很多采购忽略的隐性风险。
四、实战选型案例对照
案例 A：3 个域名，独立主域，长期不新增
brand1.com、brand2.com、brand3.com ✅ 优选：3 域名 SAN DV 证书 ❌ 不推荐：买 3 张单域名，或者强行推泛域名
案例 B：一个主域，子域名持续新增
*.api.company.com，后续会不断上线 v1.api、v2.api、test.api ✅ 优选：一张泛域名 DV/OV ❌ 不推荐：SAN，每新增子域名加价重签
案例 C：两个独立主域，每个下面一堆子域名
*.a.com、*.b.com 方案对比： 方案 1：2 张独立泛域名证书（推荐，故障隔离，价格透明） 方案 2：SAN 通配证书（一张证书包含两个 *，单价高，一个吊销全部挂掉）
五、收尾：运维侧额外省钱小贴士
- 通配符证书只能覆盖一级子域名 ，
*.a.com保护xxx.a.com，不保护xxx.yyy.a.com，多层子域要单独处理； - 通配符证书只能 DNS TXT 验证，提前确认你的域名解析服务商支持 TXT 记录；
- 统一规划证书续期台账，DV 付费证书一般一年有效期，避免证书过期宕机；
- 国密 SM2 需求单独看产品线，普通国际算法证书不支持国密，不要被商家打包高价 "国密全能证书"，不需要国密场景不用加购。