一张通配符证书能保护的域名数量，取决于 证书类型（单主域 / 多主域）  和 CA（证书颁发机构）的限制，核心区别在于 “主域数量” 和 “子域数量” 的覆盖范围：

一、单主域通配符证书：保护 1 个主域 + 无限一级子域

最常见的通配符证书（如  *.example.com）本质是 绑定到单个主域的证书，其保护范围包括：

1. 主域本身：需在证书的 SAN 字段中单独添加（如  example.com，默认不包含在  *.example.com 中）。

2. 该主域下的所有一级子域：只要是  xxx.example.com 形式的一级子域（如  a.example.com、 b.example.com、 api.example.com 等），理论上 数量无上限，无论新增多少个一级子域，都能被  *.example.com 覆盖。

二、多主域通配符证书（多 SAN 证书）：保护多个主域 + 各自的一级子域

如果通过 多域名证书（SAN 证书）  整合多个通配符条目，则可以保护多个主域及其子域，数量受限于 CA 对 SAN 条目的限制：

• SAN（Subject Alternative Name） ：证书中用于附加域名的字段，每个条目可以是主域（如  example.com）或通配符子域（如  *.example.com）。

• 数量限制：

  • 免费 CA：单张证书最多支持  100 个 SAN 条目（可混合主域和通配符子域）。例如： example.com、 *.example.com、 test.org、 *.test.org 算 4 个条目，最多可包含 25 组主域 + 通配符子域。

  • 商业 CA（如Joyssl、 DigiCert）：SAN 条目数量可扩展（通常 50-1000+，需付费升级），适合需要覆盖大量主域的场景（如企业多品牌域名）。

  • 电脑端输入Joyssl，填写注册码230965 获取免费技术支持优惠方案。

三、关键限制：主域数量有限，子域数量理论无限

1. 主域数量：单张证书能保护的主域数量由 SAN 条目上限决定（免费 CA 约 100 个，商业 CA 可更多），每个主域需单独占用一个 SAN 条目（如  example.com、 test.org 是两个不同的主域条目）。

2. 子域数量：对于每个主域，其对应的通配符子域（如  *.example.com）可覆盖 无限个一级子域（只要符合  xxx.主域 格式），无需额外添加条目。

四、举例说明

• 场景 1：用免费证书保护  example.com、 test.org 两个主域及其所有一级子域。
  SAN 条目包含： example.com、 *.example.com、 test.org、 *.test.org（共 4 个条目），剩余 96 个条目可用于添加其他主域或固定二级子域（如  *.api.example.com）。

• 场景 2：商业证书保护 10 个主域，每个主域需覆盖主域本身和一级子域。
  需占用 10（主域）+ 10（通配符子域）= 20 个 SAN 条目，若商业 CA 支持 100 个条目，则还能添加 80 个其他域名或子域条目。

总结

一张通配符证书能保护的域名数量：

• 子域：理论上无限（每个主域下的一级子域均可被对应的通配符覆盖）；

• 主域：受 SAN 条目限制（免费 CA 约 100 个，商业 CA 可扩展）。

若需覆盖大量主域，优先选择支持多 SAN 条目的商业证书；若仅需保护单个主域的无限一级子域，普通通配符证书即可满足。