核心是证书覆盖所有域名且服务器正确关联：选san证书（跨主域）或通配符证书（仅单层子域，根域需加san），nginx为每个域名配独立server块并共用同一证书路径，宝塔须批量绑定后重签而非重复部署。
多域名 SSL 证书配置，核心就两点：证书本身得覆盖所有要用的域名，Web 服务器得把每个域名正确关联到这张证书。不是简单“上传一次就行”，而是要确保域名在证书里、配置里、DNS 解析里三者一致。
选对证书类型：SAN 或通配符
一张证书要管多个域名，必须是支持多域名的类型：
-
SAN（Subject Alternative Name）证书：最常用。申请时明确列出所有域名，比如
example.com、www.example.com、shop.example.com、api.another-site.net—— 它们可以跨主域，但每个都得手动填进去。 -
通配符证书（*.example.com）：只匹配单层子域，比如能用在
www.example.com和api.example.com，但不能用于example.com（根域）或dev.api.example.com（二级子域）。如果需要根域，必须额外加进 SAN 列表。
Nginx 配置：一个域名一个 server 块
不要试图让多个域名共用一个 server 块去套证书。正确做法是为每个域名单独写一个 server { ... }，全部指向同一组证书文件：
- 每个
server_name必须和证书里的某个域名完全一致（大小写不敏感，但带不带www算不同域名）； -
ssl_certificate和ssl_certificate_key路径要写对，且所有块引用的是同一对文件； - 确保 Nginx 版本 ≥ 1.15.9，SNI 支持默认开启，无需额外开关。
宝塔面板实操：别点两次“部署SSL”
宝塔默认界面每次部署会覆盖前一次配置。想让多个域名共用一张证书，得走“批量绑定+重签”路径：
- 新建站点时，在「域名」框里一次性填入所有域名（主域名在前，换行或空格分隔），再勾选“申请 Let’s Encrypt SSL”；
- 已有站点追加域名：进「域名管理」添加新域名 → 回到「SSL」页 → 点「申请证书」下拉菜单 → 选「重新申请（保留原域名列表）」；
- 切忌对同一个站点反复点击「部署SSL」，否则后一次会把前一次的证书路径覆盖掉，导致部分域名 HTTPS 失效。
验证与维护：别漏了续期和 DNS
证书生效≠一劳永逸：
- Let’s Encrypt 证书90天过期，确保自动续签任务正常运行（宝塔默认启用，可进「计划任务」查看 acme.sh 日志）；
- 新增域名后，必须先完成 DNS 解析（A 记录指向服务器 IP），否则签发或续签会因验证失败而中断；
- 用
openssl s_client -connect example.com:443 -servername example.com可直接检查证书实际包含哪些域名。
