L’astérisque doit constituer à lui seul l’étiquette la plus à gauche (la RFC 9525, §6.3, n’autorise qu’un seul caractère générique, sous la forme de l’étiquette la plus à gauche tout entière) ; les AC publiques n’acceptent ni w*.example.com ni *.*.example.com, et refusent les noms wildcard placés directement sous un suffixe public comme *.co.uk. Les AC publiques ne valident les noms wildcard que par des méthodes fondées sur le DNS, si bien qu’avec ACME, les certificats wildcard ne s’obtiennent que via le challenge dns-01.
Contreparties : une seule clé sert de nombreux hôtes, si bien que sa compromission les touche tous, et chaque serveur qui la détient devient un point de fuite possible. Les certificats wildcard masquent aussi les noms d’hôte individuels à Certificate Transparency, ce qui en est parfois la motivation. Avec l’émission automatisée, des certificats par hôte ou multi-SAN constituent généralement un meilleur choix par défaut.