泛域名证书在CDN中需上传fullchain.pem和privkey.pem至HTTPS配置，Apache源站仅在HTTPS回源时需同步部署同一证书，并确保CDN域名、证书SAN、Apache ServerAlias三者匹配。
Apache 本身不直接参与 CDN 节点的证书分发，它只负责源站 HTTPS 通信；泛域名证书在 CDN 中的部署，是独立于 Apache 的操作，但两者需协同配合才能真正实现全链路安全。
泛域名证书（Wildcard Certificate，如 *.example.com）在 CDN 场景下价值突出——一张证书覆盖所有子域名（blog.example.com、api.example.com、cdn.example.com 等），避免逐个申请、管理、更新的繁琐。但它的使用逻辑要分清两层：源站（Apache）和边缘（CDN）。下面从实际协作角度讲清楚关键环节。
CDN 侧：泛域名证书的上传与生效
CDN 平台（如腾讯云 CDN、阿里云 DCDN、Cloudflare、简米云等）普遍支持直接上传 PEM 格式泛域名证书。核心动作是：
- 登录 CDN 控制台，进入「HTTPS 配置」或「证书管理」页面
- 选择目标加速域名（如 *.example.com 或具体子域名），点击「上传证书」
- 将泛域名证书的两个文件内容分别粘贴：
-
证书内容：对应
fullchain.pem（含服务器证书 + 中间证书，顺序不能错） -
私钥内容：对应
privkey.pem（必须是未加密的 PEM 格式，即无密码保护）
-
证书内容：对应
- 保存后等待节点下发，通常 1–5 分钟内全球生效
⚠️ 注意：若只上传了 cert.pem（仅服务器证书），缺少中间证书，会导致 Safari/Chrome 报 ERR_CERT_AUTHORITY_INVALID ——这是泛域名证书在 CDN 上最常出错的点。
源站侧（Apache）：是否也要配泛域名证书？
不一定需要，取决于回源协议：
- 回源走 HTTP：Apache 只需监听 80 端口，无需配置 SSL。CDN 到用户加密，CDN 到源站不加密（风险自担）
-
回源强制 HTTPS：此时 Apache 必须启用 HTTPS，且建议也部署同一张泛域名证书（或至少匹配的子域名证书），否则会出现：
- CDN 回源校验失败（证书域名不匹配、过期、链不完整）→ 返回 502/503
- 源站 Apache 若未开启
SSLEngine on或未正确加载证书 → 拒绝 TLS 握手
如果选择在 Apache 上部署泛域名证书，配置示例如下（适用于 Apache 2.4+）：
<VirtualHost *:443> ServerName example.com ServerAlias *.example.com DocumentRoot /var/www/html <p>SSLEngine on SSLCertificateFile /etc/ssl/certs/example.com_wildcard.pem SSLCertificateKeyFile /etc/ssl/private/example.com_wildcard.key SSLCertificateChainFile /etc/ssl/certs/example.com_chain.pem</p><h1>强烈建议启用 SNI（现代 Apache 默认开启）</h1><p><Directory "/var/www/html"> Require all granted </Directory> </VirtualHost>
关键协同点：域名、证书、SNI 三者对齐
泛域名证书要在整个链路中稳定工作，必须确保三个层面一致：
-
CDN 加速域名：添加为
*.example.com或明确列出各子域名（如 blog.example.com） -
证书 SAN 或 CN 字段：泛域名证书的 Subject Alternative Name 必须包含
*.example.com，且不能缺失通配符前缀 -
Apache 虚拟主机 ServerName/ServerAlias：若启用 HTTPS 回源，
ServerAlias *.example.com是必要项；但注意 Apache 不支持纯*.example.com通配符匹配，需靠 SNI + 多个<VirtualHost>或合理使用ServerAlias覆盖常用子域
例如，你有 blog.example.com 和 shop.example.com 两个子站，Apache 可分别配置两个 <VirtualHost *:443> 块，各自指向不同目录，但共用同一套泛域名证书文件（只要证书覆盖这两个域名即可）。
自动续期与维护提醒
Let’s Encrypt 泛域名证书有效期仅 90 天，CDN 平台一般不自动续期。推荐做法：
- 在源站服务器用 Certbot 自动续签（DNS-01 方式），生成新
fullchain.pem和privkey.pem - 通过 CDN 提供的 API（如腾讯云 CDN API、阿里云 ALB SDK）或控制台批量更新证书
- 切勿依赖 CDN 后台“一键部署”旧证书——它不会同步更新已过期的文件
定期检查方式：用 openssl x509 -in fullchain.pem -text -noout | grep "Subject:" 确认证书主体含 *.example.com，并用 curl -I -v https://test.example.com 观察 TLS 握手是否成功、证书链是否完整。
