El asterisco debe ocupar toda la etiqueta situada más a la izquierda (el RFC 9525 §6.3 admite exactamente un comodín, como etiqueta completa más a la izquierda); las CA públicas no aceptan w*.example.com ni *.*.example.com, y rechazan los comodines situados directamente bajo un sufijo público como *.co.uk. Las CA públicas validan los comodines solo con métodos basados en DNS, por lo que ACME los emite únicamente mediante el desafío dns-01.
Contrapartidas: una sola clave sirve a muchos hosts, así que, si se ve comprometida, los afecta a todos, y cada servidor que la guarda se convierte en un punto por el que puede filtrarse. Los comodines también ocultan a Certificate Transparency los nombres de host individuales, y a veces ese es precisamente el motivo. Con la emisión automatizada, los certificados por host o con varios SAN suelen ser la mejor opción predeterminada.