多语言网站使用子域名，要买哪种SSL证书？

如果多语言网站采用 en.example.com、de.example.com、fr.example.com 这样的同一级子域名，且后续还会增加语言站点，通配符证书通常更便于维护。但购买前必须确认：证书是否同时包含主域名 example.com，以及建站平台、CDN或服务器是否支持部署该证书。

如果只有少量固定语言站点，多域名证书或分别签发的单域名证书也能满足需求。决定选型的不是语言数量本身，而是需要保护的完整主机名、域名层级，以及HTTPS连接在哪里终止。

把需要保护的域名列清楚

SSL证书验证的是访问地址中的主机名，不是页面语言、网站目录或服务器IP。因此，example.com/en/ 与 example.com/de/ 共用同一个主机名，不需要因为语言不同增加证书覆盖；en.example.com 与 de.example.com 则是两个主机名。

整理域名时，不要只列语言首页，还应包括主域名、www 地址，以及实际使用的商城、询盘表单等独立子域名。即便某个地址只负责跳转，也需要有效证书：访问HTTPS地址时，浏览器先完成TLS握手，再接收跳转指令，不能靠跳转修复证书不匹配。

通配符只覆盖指定层级，不是整个域名树

*.example.com 可以匹配 en.example.com、de.example.com 和 www.example.com，但不能匹配 example.com，也不能匹配 shop.en.example.com。

部分通配符产品会同时包含主域名，但这是签发时的域名配置，不是通配符天然具备的能力。应核对证书的主题备用名称（SAN）列表，而不是只看商品名称中的“通配符”字样。

如果网站采用 en.example.com，商城又采用 shop.en.example.com，便需要覆盖两种层级。对于少数固定商城地址，直接加入完整主机名即可，不必为每个层级都购买通配符。

语言站固定，还是会持续增加？

只有几个固定子域名时，可以将主域名、www 及语言子域名加入一张多域名证书。它通过SAN逐项列出允许访问的主机名，覆盖边界明确，但新增语言站时，需要更新域名列表并重新签发、部署证书。

如果语言站会持续增加，且全部位于同一级域名下，通配符更省维护工作。新增 es.example.com 时，只要DNS、站点配置和证书部署正确，就不需要为这个名称重新签发证书。不过，通配符不会自动创建子域名，也不会自动让新站点启用HTTPS。

若不同语言使用 example.de、example.fr 等独立域名，一张 *.example.com 无法覆盖。此时可采用多域名证书，或让各站点独立签发。选择哪种方式，应结合部署位置和维护责任，而不是只追求证书数量最少。

购买前，确认平台是否已经提供证书

托管建站平台或CDN可能已支持自动签发和续期。若服务已覆盖所有语言子域名，另购证书未必有必要；有些平台也不允许上传自购证书。应先确认支持哪些域名、是否支持通配符，以及证书服务是否包含在现有套餐中。

使用CDN时，要区分浏览器到CDN、CDN到源站两段连接。CDN边缘证书正常，不代表源站证书也正确；源站使用何种证书，应符合CDN的加密和证书校验要求。仅供CDN回源使用的源站证书，也不能直接当作浏览器信任的公网证书使用。

如果多个语言站分布在不同服务器，共用通配符证书意味着需要分发对应私钥。一处私钥泄露，可能影响使用同一密钥的其他站点。由不同团队或服务商管理的站点，采用独立证书更有利于隔离风险，也能减少跨团队续期协调。

不要把验证等级当作覆盖能力

DV、OV、EV表示身份验证方式；单域名、多域名和通配符描述域名覆盖方式。这是两个不同维度。购买OV证书，并不会自动增加可保护的语言子域名；在相同TLS配置下，也不能仅凭验证等级判断加密强度。

如果目的只是让语言站正常使用HTTPS，受浏览器信任且域名匹配的DV证书可以满足基本需要。是否采用OV或EV，应看企业身份核验、合同或内部管理要求，而不是因为网站面向海外就必须购买更高验证等级。

免费证书同样可以满足HTTPS需求，但必须有可靠的续期机制。以Let’s Encrypt为例，通配符签发需要DNS验证；若要自动续期，应确认DNS服务支持相应自动化，并妥善限制DNS接口凭据的权限。

上线验收要逐个地址检查

下单或启用平台证书前，应确认实际主机名清单、SAN覆盖范围、部署位置和续期责任。不能只确认“支持SSL”，却没有明确由谁处理签发失败、过期告警及重新部署。

上线后，应逐一访问主域名、www 和各语言子域名，检查域名匹配、证书链与HTTPS跳转，同时排查页面中仍使用HTTP加载的资源。没有证书警告，并不等于页面已经完整、安全地通过HTTPS加载。

对于“主域名加同一级语言子域名”的结构，包含主域名的通配符证书是便于扩展的选择；对于少量固定站点或分散部署的站点，多域名或独立证书也可能更合适。购买应建立在域名清单和部署条件已经确认的基础上，而不是先买证书，再调整网站来适配。