一、应用场景决定证书数量
服务器证书数量的选择需优先评估实际业务场景。当服务器托管多个独立域名时，每个域名应配置独立证书以确保HTTPS安全访问。对于具有层级结构的子域名体系，采用通配符证书（如*.domain.com）可覆盖所有同级子域名，避免单独配置每个子域名的繁琐操作。在微服务架构中，建议为每个服务模块单独配置证书，实现安全隔离和独立管理。
二、证书类型与域名覆盖策略
根据域名数量选择证书类型是核心决策点：
| 证书类型 | 覆盖范围 | 适用场景 |
|---|---|---|
| 单域名证书 | 单个完整域名 | 独立业务系统部署 |
| 通配符证书 | 主域及所有子域 | 子域名体系架构 |
| 多域名证书 | 3-150个域名 | 跨业务线多域名管理 |
通配符证书可节省90%的证书管理成本，但需注意其不支持跨级子域名的特性。多域名证书建议保留20%域名容量冗余，以便后续业务扩展。
三、技术实现方案选择
主流服务器支持三种多证书部署方案：
- SNI技术：单IP支持多证书配置，需客户端支持TLS扩展
- 多端口绑定：通过不同端口映射独立证书，适用于API服务隔离
- 虚拟主机分离：结合域名解析实现证书隔离，适合大规模部署
Nginx配置示例中需在server块指定ssl_certificate路径，并启用ssl_session_cache提升性能。
四、安全管理与合规要求
证书部署需遵循密钥管理规范：RSA 2048位或ECC 256位密钥长度，私钥文件权限设置为600。禁用SSLv3、TLS1.0等不安全协议，推荐配置TLSv1.2+并启用HSTS策略。生产证书有效期建议不超过1年，核心系统建议每6个月轮换。
五、自动化运维体系建设
构建证书全生命周期管理系统应包含：
- 证书到期预警（提前30天预警）
- ACME协议自动续期工具
- 证书吊销状态检查模块
通过集成Let’s Encrypt等CA服务，可降低30%以上的运维成本。建议核心系统独立部署证书，非关键服务采用通配符证书分层管理。
选择服务器证书数量需平衡安全需求与运维成本，核心在于准确识别业务场景与技术方案的匹配度。建议采用”混合部署”策略，结合通配符证书与独立证书的优势，通过自动化工具实现证书全生命周期管理，最终构建兼顾安全性与运维效率的证书管理体系。
