SAN证书是什么？多域名SSL完整指南

使用单个SSL证书保护多个网站、子域名和服务很快就会成为管理噩梦。SAN（主体备用名称）证书——也称为多域名SSL证书——通过在单个统一证书下保护数十个不同的域名，优雅地解决了这个问题。无论您运营SaaS平台、企业网络还是跨越多个地区域名的电子商务业务，了解SAN证书对于保持基础设施的安全性和可管理性都至关重要。

什么是 SAN 证书？

SAN 证书是一种 SSL/TLS 证书，它使用主题备用名称扩展在单个证书中列出多个域名。您无需为拥有的每个域购买、安装和续订单独的证书，SAN 证书可以将它们全部整合到一个证书中。

例如，单个 SAN 证书可以同时保护：

• www.example.com
• mail.example.com
• shop.example.org
• app.example.net
• secure.example.io

这种功能使 SAN 证书成为大型组织、SaaS 提供商和管理多个网络资产的任何企业的首选解决方案。

SAN 证书如何工作？

每个 SSL/TLS 证书都包含结构化数据字段，用于标识它被授权保护的域。在标准单域证书中，仅使用通用名称 (CN) 字段。SAN 证书通过在主题备用名称扩展中填充证书应覆盖的每个域的列表来扩展此功能。

当浏览器或服务器启动 HTTPS 连接时，它会检查请求的域是否与通用名称或证书中列出的任何 SAN 匹配。如果找到匹配项，连接将被验证并显示挂锁图标。如果没有，浏览器会显示安全警告。

SAN 证书结构示例

这种架构意味着添加或更新覆盖的域在证书级别处理——您只需使用更新的 SAN 列表重新颁发证书，而不是从头开始配置全新的证书。

使用 SAN 证书的主要优势

1. 显著的成本节省

为您管理的每个域名购买单独的 SSL 证书成本很高。单个 SAN 证书以远低于合并成本的价格覆盖多个域名，对于不断增长的企业来说是一个明智的财务选择。

2. 简化的证书管理

您无需跟踪数十个单独证书的续期日期、验证状态和安装程序，只需管理一个。这大大降低了管理开销和证书过期而未被注意的风险——这可能导致您的网站离线并在一夜之间摧毁用户信任。

3. 安全性不受影响

SAN 证书使用与单域名证书相同的强大加密标准（RSA 或 ECDSA 密钥、SHA-256 哈希）。将域名合并到一个证书下不会削弱任何单个域名的安全态势。

4. 广泛的服务器和客户端兼容性

SAN 证书得到几乎所有现代 Web 服务器（Apache、Nginx、IIS、LiteSpeed）、邮件服务器和客户端浏览器的支持。它们是多域名部署的行业标准方法。

5. 跨 TLD 的灵活性

与仅限于单个域名子域的通配符证书不同，SAN 证书可以同时保护跨不同顶级域名的完全不同的域名（.com、.net、.org、.io 等）。

SAN 证书类型

并非所有 SAN 证书都相同。了解可用的类型有助于为您的特定用例选择正确的验证级别和覆盖范围。

多域 SSL 证书（DV 或 OV）

最常见的类型。保护跨不同 TLD 的多个完全限定域名。可用于 域名验证 (DV) 以快速颁发或 组织验证 (OV) 以增加信任信号。

• 最适合：管理多个不同网站或网络应用程序的企业。

通配符 SAN 证书

结合通配符覆盖 (*.example.com) 和多域支持。单个证书可以同时覆盖多个基础域的所有子域。

• 最适合：在多个根域中拥有大量子域的组织。

EV（扩展验证）SAN 证书

提供最高级别的身份验证。证书颁发机构在颁发前严格审查该组织。所有列出的域都受益于扩展验证状态。

• 最适合：金融机构、企业门户和电子商务平台，其中最大用户信任至关重要。

SAN 证书与通配符证书：主要差异

一个常见的困惑点是何时选择 SAN 证书而不是通配符证书。以下是直接比较：

在许多实际部署中，管理员使用通配符 SAN 证书来获得两种方法的优势。

如何获取 SAN 证书：分步指南

第 1 步：选择受信任的证书颁发机构 (CA)

选择一个提供具有您需要的验证级别的 SAN 证书的知名 CA。寻找包含在所有主要浏览器信任库中的 CA。如果您已经在 AlexHost SSL 证书上托管，您可以直接通过您的托管仪表板管理您的证书采购。

第 2 步：生成证书签名请求 (CSR)

在您的服务器上，生成一个 CSR，其中包含您的主域作为通用名称。大多数现代服务器软件和控制面板允许您在 CSR 生成期间指定其他 SAN。

openssl req -new -newkey rsa:2048 -nodes 
  -keyout yourdomain.key 
  -out yourdomain.csr 
  -subj "/CN=www.example.com"

对于 SAN 条目，您通常会在 openssl.cnf 文件中或在应用过程中直接通过您的 CA 的网络门户配置它们。

第 3 步：指定所有 SAN 域

在证书申请期间，列出您希望证书覆盖的每个域和子域。要全面——在颁发后添加域需要重新颁发证书。

第 4 步：完成域验证

对于 SAN 字段中列出的每个域，您必须证明所有权。三种标准验证方法是：

• 电子邮件验证：回复发送到域的注册地址的确认电子邮件。
• DNS 验证：将特定的 TXT 或 CNAME 记录添加到域的 DNS 区域。
• 基于文件 (HTTP) 验证：将特定文件上传到 Web 服务器上的指定路径。

DNS 验证通常对 SAN 证书更受欢迎，因为它可以自动化，并且在验证期间不需要 Web 服务器可公开访问。

第 5 步：在您的服务器上安装证书

CA 颁发证书后，在您的服务器上安装它并配置每个列出的域以使用它。在 Nginx 服务器上，基本配置如下所示：

server {
    listen 443 ssl;
    server_name www.example.com blog.example.com shop.example.org;

    ssl_certificate     /etc/ssl/certs/san_certificate.crt;
    ssl_certificate_key /etc/ssl/private/san_certificate.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
}

如果您运行 VPS 托管环境，您拥有完全的 root 访问权限来配置 SSL，完全符合您的基础设施要求，没有共享环境的限制。

管理和续期您的 SAN 证书

正确的生命周期管理至关重要。单个过期的 SAN 证书可能同时破坏它覆盖的每个域的 HTTPS — 这可能是一次灾难性的中断。

SAN 证书管理的最佳实践

• 维护域名清单：保持每个 SAN 证书覆盖的所有域名的最新列表，包括它们的过期日期。
• 提前设置续期提醒：在过期前至少 30 天开始续期流程。许多 CA 现在支持 90 天证书（如 Let's Encrypt），因此强烈建议使用自动化。
• 在续期时审计您的 SAN 列表：利用每次续期的机会删除已停用的域名并添加新域名。
• 使用 ACME 客户端自动化：Certbot 等工具支持 SAN 证书，可以通过 ACME 协议自动化发行和续期。
• 安装后测试：安装续期的证书后，使用 SSL Labs 的 SSL Test 等工具验证所有列出的域名是否正确受保护。

更新 SAN 列表

如果您需要在周期中途添加或删除域名，您需要重新颁发证书（而不仅仅是续期）。大多数 CA 允许在证书有效期内免费重新颁发。该流程与原始申请相同 — 您提交包含更新的 SAN 列表的新 CSR，并重新验证任何新添加的域名。

SAN 证书的常见用途

SaaS 和 Web 应用

SaaS 提供商经常使用 SAN 证书来保护其主应用域、API 端点、客户门户和营销网站，所有这些都在一个证书下。这简化了部署管道，并确保整个产品套件中的 SSL 覆盖范围一致。

企业网络

大型企业通常管理内部子域、合作伙伴门户和面向公众的网站的混合体。SAN 证书——或一组证书——在整个域组合中提供集中的 SSL 管理。如果您的组织运行 Dedicated Servers，您拥有大规模部署和管理复杂 SAN 配置所需的基础设施控制。

电子商务平台

拥有地区店面的在线零售商（shop.example.co.uk、shop.example.de、shop.example.fr）可以使用单个 SAN 证书保护每个店面，确保为全球客户提供一致且可信的购物体验。

电子邮件基础设施

SAN 证书广泛用于保护邮件服务器，在一个证书下覆盖 SMTP、IMAP 和 POP3 主机名。如果您依赖 Email Hosting 进行业务通信，确保邮件服务器的 SSL 证书配置正确对于安全性和可交付性都至关重要。

开发和暂存环境

管理跨不同子域的多个环境（生产、暂存、开发）的团队可以使用 SAN 证书在所有环境中维护 HTTPS，而无需为每个环境单独配置证书的开销。

SAN 证书和您的托管环境

您使用的托管环境类型直接影响您如何部署和管理 SAN 证书。

共享托管：在共享网络托管计划上，SSL 管理通常通过托管控制面板处理。检查您的提供商是否支持自定义 SAN 证书，或仅通过其界面提供单域和通配符选项。

VPS 托管：带有 cPanel 的 VPS 为您提供托管控制面板的灵活性和安装自定义 SAN 证书所需的服务器级访问权限，可跨同一服务器上托管的多个域使用。

专用服务器：为了获得最大控制权，专用服务器允许您配置 Web 服务器、负载均衡器和反向代理，以完全按照您的架构需求使用 SAN 证书 — 包括证书固定和 OCSP 装订等高级配置。

关于SAN证书的常见问题

一个SAN证书可以覆盖多少个域名？

这取决于CA和具体产品。大多数商业SAN证书支持5到250个SAN。某些CA提供无限SAN添加，但需要按域名额外付费。

我可以在一个SAN证书中混合不同的域名类型吗？

可以。单个SAN证书可以包括裸域名、www子域名、其他子域名和完全不同TLD的域名。

SAN证书与UCC证书相同吗？

本质上是的。统一通信证书（UCC）是一个营销术语，主要用于Microsoft Exchange和Office Communications Server环境。从技术上讲，它是针对这些环境优化的SAN证书。

SAN证书会影响SEO吗？

不会直接影响。对SEO重要的是HTTPS正确实施且没有混合内容警告。正确安装的SAN证书为其覆盖的每个域名都能实现这一点，就像单域名证书一样。

我可以将SAN证书与CDN或负载均衡器一起使用吗？

可以。SAN证书与CDN部署和负载均衡器完全兼容。实际上，这是最常见的用例之一——在边缘安装的单个SAN证书覆盖通过CDN路由的所有域名。

结论

SAN 证书是保护多域基础设施最实用和经济高效的工具之一。通过将多个域整合到单个证书下，您可以降低成本、简化管理，并在整个网络存在中保持强大的 SSL/TLS 安全性 — 毫不妥协。

无论您是管理少数域的初创公司、运行数百个子域的企业，还是保护复杂应用堆栈的 SaaS 提供商，SAN 证书都能提供您的基础设施所需的灵活性和效率。

准备好保护您的域了吗？探索 AlexHost SSL 证书以找到适合您需求的正确多域证书，或查看我们的 VPS 主机计划，获得完全托管的环境，其中部署和维护 SAN 证书既简单又无忧。