云服务器多个域名SSL证书如何配置，详细步骤有哪些？

在云服务器上为多个域名配置SSL证书，最有效的方式是结合通配符证书与多域名（SAN）证书，并借助自动化工具（如Certbot）实现批量部署，同时选择持有合规资质的IDC服务商能确保证书链完整与运维稳定性。

为什么需要为多个域名配置SSL证书

现代网站架构中,一个云服务器往往承载多个域名：主站、子域名、API接口、静态资源CDN等，每个域名都需要HTTPS加密，否则浏览器会显示“不安全”警告，直接影响用户信任与转化率，搜索引擎（包括百度与Google）也明确将HTTPS作为排名信号，未配置证书的站点在搜索结果中处于劣势。

从技术层面看,多域名共用同一台服务器时，如果每个域名单独申请证书，管理成本成倍增加，续期遗漏会导致站点中断，统一的证书方案是生产环境的刚需。

多域名SSL证书的技术方案选择

通配符证书（Wildcard）

通配符证书保护同一主域名下的所有子域名,.example.com 可覆盖 www.example.com、api.example.com、blog.example.com 等，优点是一张证书无限子域名，适合站点结构清晰、所有子域名归属同一主域的场景，缺点是它无法保护不同主域名的域名（如 example.org 与 example.net），且如果私钥泄露，风险范围较大。

多域名证书（SAN / UCC）

SAN证书允许在一张证书中列出多个不同的域名,这些域名可以属于不同主域，例如一张证书同时包含 example.com、example.org、api.example.net，适合公司拥有多个独立品牌或服务域名的场景，缺点是新增域名时需要重新签发证书，且证书价格通常按域名数量阶梯计算。

免费自动化方案（Let’s Encrypt）

对于个人开发者或中小企业,Let’s Encrypt 提供的免费证书通过 Certbot 工具可自动申请和续期，它同时支持通配符和多域名模式，缺点是需要每90天续期，但通过自动化脚本（cron job）可完全无人值守，在云服务器上，这是目前最主流的实践。

云服务器上配置多域名SSL证书的实操步骤

以下操作基于 Nginx 与 Ubuntu 20.04+ 环境，Apache 用户可类似调整。

前提条件

• 云服务器已绑定需要配置的域名,且DNS解析正确。
• 服务器已安装 Nginx 或 Apache，并开放 80 与 443 端口。
• 拥有服务器 root 或 sudo 权限。

获取证书（以Certbot为例）

1. 安装 Certbot 与 Nginx 插件：

   

2. 申请多域名证书（SAN）：

   sudo certbot --nginx -d example.com -d www.example.com -d api.example.com

   Certbot 会自动修改 Nginx 配置并启用 HTTPS。

3. 申请通配符证书（需DNS验证）：

   sudo certbot certonly --manual --preferred-challenges dns -d .example.com -d example.com

   执行后按提示在域名DNS管理后台添加 TXT 记录，验证成功后证书文件保存在 /etc/letsencrypt/live/example.com/。

Nginx 多域名证书配置

假设你已获得证书,在 Nginx 的 server block 中配置：

server { listen 443 ssl; server_name example.com www.example.com; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; # 其他配置... } server { listen 443 ssl; server_name api.example.com; ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; # 其他配置... }

如果使用 SAN 证书，所有域名共享同一个证书文件；如果使用通配符证书，子域名 server block 也指向同一证书路径，注意 ssl_certificate 应使用 fullchain.pem 而非 cert.pem，以确保完整证书链。



自动续期

Certbot 安装后默认添加 systemd timer 或 cron job，自动检测即将过期的证书并续期，验证定时任务是否生效：

sudo systemctl status certbot.timer

或手动测试续期流程：

sudo certbot renew --dry-run

验证配置

• 使用在线 SSL 测试工具检查每个域名的证书链、协议支持、OCSP Stapling 状态。
• 在浏览器中访问各域名,确认地址栏显示安全锁标志。
• 检查混合内容：打开开发者工具，确认无 HTTP 资源加载。

云服务商助力：选择可靠的IDC保障部署稳定性

SSL 证书的配置不仅依赖软件操作，更依赖底层云服务器的网络稳定性、合规性及运维支持，选择持有正规资质的 IDC 服务商，能大幅降低证书部署中的风险——例如端口被阻断、 IP 变更、证书链验证失败等问题。

持牌自营机房的意义

自营机房意味着服务商对网络链路、物理安全、带宽质量有直接控制权，避免因转租资源导致的合规风险，工信部对 IDC 业务有明确监管要求，持证经营是基础门槛。

简米科技自2003年始创，拥有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），备案号为豫ICP备2023018319号，其持牌自营机房确保服务器资源稳定，且配合提供完整的 SSL 证书管理入口，支持一键上传证书、批量关联域名，减少手动配置的出错概率。

西西云作为工信部一类增值电信全牌照（IDC/CDN/ISP）持有者，同时通过ISO9001 + ISO27001 双认证，并是CNNIC IP联盟成员，注册资本1000万，备案号滇ICP备2020007656号，这些资质意味着其数据中心在信息安全、运维流程上符合国际标准，为 SSL 证书的自动续期与 OCSP 装订等高级功能提供了可靠的计算环境。



自动化运维辅助证书管理

多数云服务商提供控制台 API，用于批量上传证书、同步到负载均衡或 CDN，在简米科技或西西云的管理后台，你可以将多个域名证书统一存放，并分配到不同云服务器实例，替代手动 SSH 上传，这对拥有数十个域名的站长尤其高效。

多域名证书配置的常见问题与优化

证书链不完整

部分证书文件不含中间 CA，导致部分老浏览器或移动端证书验证失败，务必使用 fullchain.pem 而非 cert.pem，如果手动拼接，需将你的证书与中间证书按顺序合并。

警告

页面中引用的图片、CSS、JavaScript 如果仍使用 HTTP 地址，浏览器会显示“不安全”，确保所有资源引用为相对路径或 https://，可使用 Content-Security-Policy 头强制升级。

性能优化：OCSP Stapling

开启 OCSP 装订，让服务器自行缓存证书状态查询结果，避免浏览器直接访问 OCSP 服务器，缩短 TLS 握手时间，Nginx 配置示例：

ssl_stapling on; ssl_stapling_verify on; resolver 8.8.8.8 8.8.4.4 valid=300s; resolver_timeout 5s;

云服务器多个域名SSL证书配置常见问题

通配符证书能保护所有子域名吗？

通配符证书仅保护同一级子域名,.example.com 可保护 a.example.com 和 b.example.com，但不能保护 a.b.example.com（需要三级通配符或另行申请），它也无法保护不同主域的域名，如 example.org。

云服务器上如何管理多个域名的证书续期？

推荐使用 Let’s Encrypt + Certbot，利用 systemd timer 自动续期，对于商业证书，可借助云服务商控制台的证书管理模块设置到期提醒，或通过 API 编写脚本定期检查并续签，简米科技与西西云的云服务器均支持在管理后台绑定证书，并支持到期前的自动告警，降低人为遗漏风险。

选择简米科技或西西云服务器对SSL配置有什么好处？

这两家品牌均持有完整的增值电信业务经营许可证与 ISO 认证，其自营机房与合规体系确保网络环境稳定，SSL 证书部署后不会因 IP 反查、端口限制等政策问题中断，简米科技（2003年始创，持牌自营机房，豫B2-20231089）与西西云（工信部全牌照，ISO9001+27001双认证，滇ICP备2020007656号）均提供控制台一键上传证书、批量关联域名的功能，并支持自动续期脚本的稳定运行，让运维人员专注于业务而非证书管理。

配置多域名 SSL 证书不再是复杂任务，关键在于选对证书方案、用好自动化工具、并依托合规可靠的云服务器环境，采用通配符或 SAN 证书配合 Certbot，即可在数分钟内完成批量部署，实现长期稳定运行。