托管一条域名后,它能覆盖哪些申请写法?规则只有一条:托管裸域,同时服务裸域与它的一级泛域名;二级及以上子域要单独托管。
覆盖关系表
| 你托管的 | 自动覆盖的申请写法 | 需要单独托管 |
|---|---|---|
example.com | example.com、*.example.com | a.b.example.com(二级子域) |
api.example.com | api.example.com、*.api.example.com | — |
托管列表里每一行都会写明「自动解析覆盖 裸域 / *.裸域」,不用记。
为什么是这条规则
Let's Encrypt 校验 _acme-challenge.<域名> 这一个点。裸域托管时,CNAME 加在 _acme-challenge.example.com 上,
而 *.example.com 的验证点恰好也是 _acme-challenge.example.com,所以一条记录天然覆盖两种写法;
a.b.example.com 的验证点是 _acme-challenge.a.b.example.com,不在托管记录覆盖范围内。
各场景的主机记录怎么填
CNAME 的主机记录取决于你托管的对象:
| 托管对象 | 主机记录(控制台域名选 example.com 时) | 完整名称 |
|---|---|---|
example.com | _acme-challenge | _acme-challenge.example.com |
api.example.com | _acme-challenge.api | _acme-challenge.api.example.com |
拿不准就把指引弹窗里的「完整名称」整条照抄。
二级子域要单独托管
给 a.b.example.com 申请证书时,需要在托管页单独添加 a.b.example.com,并按上表把 CNAME 加在 _acme-challenge.a.b 上。每多一层子域,就多一条独立的 CNAME。
泛域名的层级边界
*.example.com 覆盖的只有一级子域(a.example.com),不包含二级子域(a.b.example.com)与裸域本身:
- 要给
a.b.example.com签发 → 单独托管a.b.example.com。 - 要给裸域
example.com签发 → 托管裸域后直接申请example.com即可,两种写法都支持。
这与 Let's Encrypt 的通配符匹配规则一致,平台侧不做放宽。