Das Sternchen muss das gesamte Label ganz links bilden (RFC 9525 §6.3 erlaubt genau eine Wildcard, und zwar als vollständiges Label ganz links); w*.example.com und *.*.example.com akzeptieren öffentliche CAs nicht, und Wildcards direkt unter einem Public Suffix wie *.co.uk werden abgelehnt. Öffentliche CAs validieren Wildcards nur mit DNS-basierten Methoden, deshalb werden sie per ACME nur über die Challenge dns-01 ausgestellt.
Die Abwägung: Ein Schlüssel bedient viele Hosts, seine Kompromittierung trifft also alle, und jeder Server, auf dem er liegt, wird zu einer Stelle, an der er abfließen kann. Wildcards verbergen außerdem einzelne Hostnamen vor Certificate Transparency, was manchmal genau der Grund für sie ist. Bei automatisierter Ausstellung sind Zertifikate pro Host oder mit mehreren SANs meist die bessere Standardwahl.