Звёздочка должна занимать всю крайнюю левую метку (RFC 9525, § 6.3 допускает ровно один подстановочный знак, и только в виде целой крайней левой метки); публичные CA не принимают w*.example.com и *.*.example.com, а wildcard-имена непосредственно под публичным суффиксом, например *.co.uk, отклоняются. Публичные CA проверяют wildcard-имена только методами на основе DNS, поэтому через ACME их выпускают только с проверкой dns-01.
Компромиссы: один ключ обслуживает много хостов, поэтому его компрометация затрагивает их все, а каждый сервер, на котором он хранится, становится возможным источником утечки. Кроме того, wildcard-сертификаты скрывают отдельные имена хостов от Certificate Transparency, и иногда их выбирают именно ради этого. При автоматическом выпуске сертификатов по умолчанию обычно разумнее использовать отдельные сертификаты для каждого хоста или сертификаты с несколькими SAN.