アスタリスクは、最も左のラベル全体でなければなりません（RFC 9525 §6.3 は、最も左のラベル全体としてのワイルドカードをちょうど 1 つだけ認めています）。w*.example.com や *.*.example.com はパブリック CA に受け入れられず、*.co.uk のようなパブリックサフィックスの直下のワイルドカードは拒否されます。パブリック CA はワイルドカードを DNS ベースの方法でのみ検証するため、ACME ではワイルドカード証明書は dns-01 チャレンジでのみ発行されます。
トレードオフもあります。1 つの鍵が多数のホストで使われるため、その鍵が危殆化するとすべてのホストに影響が及び、鍵を保持するサーバーはどれも漏洩元になりえます。また、ワイルドカードは個々のホスト名を Certificate Transparency から隠すことになり、それが導入の動機になることもあります。発行を自動化しているなら、通常はホストごとの証明書や複数の SAN を持つ証明書のほうがデフォルトとして適しています。