一、先理解 SAN 是什么
证书中有一个字段叫主题备用名称，也就是常说的 SAN。它记录了这张证书除了主要主机名之外，还保护哪些主机名。早期一张证书只对应一个地址，后来通过 SAN 字段，一张证书可以同时覆盖多个完全不同的域名，这就是多域名证书的技术基础。
理解 SAN 有两点实用价值。其一，SAN 里可以放具体域名，也可以放泛域名条目，两者含义不同：具体域名只保护这一个地址，泛域名条目保护某一层级下的整批子域名。其二，证书覆盖哪些地址，完全由 SAN 内容决定，与证书的验证等级无关——验证等级决定证书里有没有机构信息，SAN 决定证书保护哪些地址，两者是独立维度。
二、多域名证书的计价规则
多域名证书的价格，通常遵循"基础价加增量价"的叠加方式。
基础价对应证书本身，包含一定数量的域名额度，多数方案默认包含一个或数个域名。超出基础额度后，每增加一个域名条目按单价累加，这就是增量价。
影响单价高低的因素主要有四个。第一是验证等级：域名验证型证书的增量单价最低，机构验证型次之，扩展验证型最高。原因是等级越高，每增加一个域名，审核动作与材料核对的工作量也越大。第二是条目类型：泛域名条目的单价通常高于普通域名条目，因为它覆盖的是一整批子域名，价值量不同。第三是购买时长：按多年期一次性安排，往往比逐年续更有价格优势，但要注意多年期意味着私钥与配置长期不变，需权衡管理便利与轮换频率。第四是服务内容：是否包含重新签发额度、专属支持、优先响应等，都会体现在报价里。
一个容易被忽略的规则是：证书覆盖的域名数量在签发时就固定了，之后增加通常需要重新签发，而不是在原证书上直接追加。因此"以后再加"的想法在实际操作中意味着重新走一遍签发流程，规划时应当留出余量。
三、SAN 数量的上限
SAN 数量确实存在上限，而且上限由三个层面共同决定。
第一层是颁发机构策略。不同机构设定的上限不同，行业里常见的默认值在一百个左右，也有机构设定得更保守或更宽松，部分场景可以与机构协商调整。这一层是硬约束，超出即无法签发。
第二层是证书体积与握手性能。每增加一个 SAN 条目，证书文件就增大一些，握手时需要传输的数据也更多。条目达到几十上百时，证书体积的增长会影响握手耗时，对高频短连接的服务尤其明显。这一层没有明确的数字界限，但它是实际使用中真正先撞上的墙。
第三层是管理复杂度。证书里塞了几十个域名，任何一次域名变更都要重新签发并全量部署，牵一发动全身。同时，一张证书的所有域名共用同一份私钥，任一环节泄露的影响面就是全部域名。这一层虽然不写在报价单上，却是长期成本最高的部分。
四、三种方案怎么算账
面对多域名需求，可选方案有三类：逐张申请单域名证书、申请一张多域名证书、申请泛域名证书。三者的成本临界点大致可以这样判断。
域名数量很少且互不相关时，单域名证书各自独立，管理简单，总价也可能更低；但每张证书都有独立到期时间，续期管理的工作量随数量线性增长。
域名数量中等、同属一个业务体系时，多域名证书更划算：一次签发、一个到期时间、一次部署，管理成本显著下降。这也是多数团队的选择区间。
域名以子域名为主、数量多且仍在增长时，泛域名证书通常最经济：一个条目覆盖整批子域名，新增子域名无需改动证书。但泛域名只覆盖某一层级，且同一张证书下的所有子域共用私钥，安全要求差异大的场景要谨慎。
实务中的判断方法是：先按域名清单算出"单域名总价"，再算出"多域名基础价加增量"，两者对比；若子域名占比高，再把"泛域名条目价"纳入比较。三者取优，而不是默认选某一种。
五、选型与管理的五条建议
其一，先梳理域名清单再谈价格。把当前域名、一年内的新增计划、各域名的安全等级列出来，需求清晰了，方案的优劣自然显现。顺序不能反——不是先看到报价再倒推需求。
其二，按业务线或安全等级分组。把对外门户、内部系统、测试环境分开用不同的证书，而不是全部塞进一张，既控制影响面，也便于分级管理。
其三，预留少量余量。在成本增加不多的前提下多留几个条目，可以容纳临时新增的域名，减少重新签发的次数。但余量不宜过大，否则长期闲置也是浪费。
其四，控制证书体积。域名条目特别多时，考虑拆分证书或改用泛域名条目，避免握手开销拖慢首次访问。
其五，定期清理条目。业务下线后及时从证书中移除对应域名，既是降低风险，也是为下一次续费减负。
六、续期与变更的注意点
多域名证书在续期时，域名条目可以调整：加上新域名、去掉已下线的域名，都在续期时一并处理，因此续期是一次重新规划的好机会。若验证等级为机构验证或扩展验证，续期时机构信息需重新核验，务必预留审核时间，避免证书空窗。另外，增加域名条目后，所有使用该证书的服务器都要更新部署，遗漏任何一台都会造成该节点访问异常——部署清单要与证书条目同步维护。
结语
多域名证书的价格由"基础额度加增量单价"构成，单价随验证等级、条目类型、时长与服务内容浮动；SAN 数量的上限，既受颁发机构策略约束，也受握手性能与管理复杂度的现实限制。选型时用域名清单把三种方案的实际花费与管理成本一起算清楚，按业务线合理分组、预留少量余量、定期清理条目，多域名场景的证书管理就能既经济又可控。
