星号必须构成整个最左侧标签（RFC 9525 §6.3 只允许一个通配符，并且它必须是完整的最左侧标签）；公共 CA 不接受 w*.example.com 和 *.*.example.com，直接位于公共后缀之下的通配符（例如 *.co.uk）也会被拒绝。公共 CA 只通过基于 DNS 的方法验证通配符，因此 ACME 只能通过 dns-01 挑战签发通配符证书。
权衡：一个密钥为许多主机提供服务，因此一旦该密钥泄露，所有主机都会受到影响，而持有该密钥的每台服务器都可能成为泄露点。通配符还会让各个主机名不出现在证书透明度日志中，这有时正是使用它的动机。在签发已经自动化的情况下，为每台主机单独签发证书或使用多 SAN 证书通常是更好的默认选择。