O asterisco precisa ser o rótulo inteiro mais à esquerda (a RFC 9525 §6.3 permite exatamente um curinga, como rótulo completo mais à esquerda); w*.example.com e *.*.example.com não são aceitos pelas CAs públicas, e curingas logo abaixo de um sufixo público, como *.co.uk, são recusados. As CAs públicas validam curingas apenas por métodos baseados em DNS, então o ACME só os emite pelo desafio dns-01.
Prós e contras: uma única chave atende a muitos hosts, então o comprometimento dela afeta todos eles, e cada servidor que a guarda se torna um ponto de onde ela pode vazar. Os curingas também ocultam do Certificate Transparency os nomes de hosts individuais, o que às vezes é a motivação. Com a emissão automatizada, certificados por host ou com vários SANs costumam ser o melhor padrão.