Nginx用一张SAN证书为多个域名提供HTTPS，需确保证书包含所有域名的SAN字段，并在单个server块中配置全部server_name；续期须显式重申所有域名，使用fullchain.pem并保障文件权限与协议配置正确。
在 Nginx 中用一张 SAN 证书为多个域名提供 HTTPS，关键在于“一份证书、多个域名、一个 server 块”，而不是为每个域名建单独的 server 块。这种方式适合子域统一管理（如 www.example.com、api.example.com、blog.example.com）或业务关联性强的多域名场景。
确认 SAN 证书已正确生成并覆盖全部域名
SAN 证书必须把所有目标域名都写进 Subject Alternative Name 字段，否则浏览器会报“证书不匹配”。可用以下命令验证：
- openssl x509 -in /etc/letsencrypt/live/example.com/cert.pem -text -noout | grep -A1 "Subject Alternative Name" —— 查看实际包含的域名列表
- 确保输出中包含全部你计划使用的域名，例如 DNS:example.com, DNS:www.example.com, DNS:admin.example.com
- 若漏掉某个域名，需重新申请证书：使用 certbot certonly --nginx -d example.com -d www.example.com -d admin.example.com
Nginx 配置只需一个 HTTPS server 块
与单域名证书不同，SAN 证书允许你在同一个 server { listen 443 ssl; } 块里声明多个 server_name，Nginx 会在 TLS 握手时通过 SNI 匹配证书，无需重复加载多个证书文件。
- 配置示例：
server { listen 443 ssl http2; server_name example.com www.example.com admin.example.com api.example.com; <pre class='brush:php;toolbar:false;'>ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem; # 其他通用配置（root、location、headers 等） root /var/www/html; index index.html;}
- 注意：不要在同一个配置中混用不同证书路径；也不要为同一组域名拆成多个 server 块——这反而会触发默认 server 行为或证书错配
- 若还需支持 HTTP 跳转，可另配一个 listen 80; 的 server 块，用 return 301 https://$host$request_uri;
自动续期与域名动态增减
Certbot 对 SAN 证书的支持很成熟，但续期不是“自动覆盖”，而是需要显式声明全部当前生效的域名。
- 添加新域名时，不能只加 -d，必须重跑完整命令：certbot certonly --nginx -d example.com -d www.example.com -d new.example.com
- 删除某域名需先用 certbot certificates 查看证书名，再执行 certbot delete --cert-name example.com，然后重新申请不含该域名的新证书
- 建议将常用域名列表写入 /etc/letsencrypt/cli.ini，配合 --config-file 使用，避免遗漏
规避常见部署陷阱
即使证书和配置看起来正确，仍可能因细节出错导致 HTTPS 失效。
- 证书链不完整：务必使用 fullchain.pem（含中间证书），而非仅 cert.pem；否则旧版 Android 或 Safari 可能校验失败
- 权限问题：Nginx 主进程需读取证书文件，确保 /etc/letsencrypt/live/ 下文件对 nginx 用户可读（通常属组为 root:ssl-cert，权限 644）
- 未启用 HTTP/2 或现代协议：在 ssl_certificate 后补充 ssl_protocols TLSv1.2 TLSv1.3; 和 http2;，提升兼容性与性能
