子域名与泛解析怎么规划

一句话：子域名^释域名云服务器是可按需租用的虚拟计算资源；域名是网站的访问地址；带宽决定单位时间内能传输的数据量。三者构成网站运行的基础资源。不用另外买，但要有命名规则：对外访问的用固定前缀，内部和测试用独立前缀并加访问限制，泛解析只留给确实需要动态子域的场合。

一套够用的命名规则

• www：主站，对外的唯一入口。
• api：接口^释接口API（Application Programming Interface，应用程序编程接口）是系统之间约定好的调用方式：调用方按约定传入参数，服务方返回结果。它是软件之间协作的接口。域名。小程序^释小程序微信小程序是运行在微信内的应用形态，由微信提供运行环境和开放接口。用户无需下载安装，通过搜索、扫码、分享或公众号入口打开。、App 要求接口域名单独备案且必须是 HTTPS^释HTTPSSSL 证书是用于在浏览器与服务器之间建立加密通道的数字证书，部署后网站通过 HTTPS 访问。它解决传输过程中的窃听与篡改问题，并验证网站身份。，独立出来最省事。
• static / img / cdn：静态资源，方便单独接 CDN^释CDN负载均衡是把请求分发到多台服务器的机制，用于提升处理能力与可用性；CDN 是把静态资源缓存到离用户更近的节点，用于缩短访问延迟。两者都在分散压力，但层级不同。 和设缓存策略^释缓存策略缓存是把访问频繁的数据临时存放在更快的存储介质中，以减少对慢速数据源的访问。常见位置有浏览器、CDN、应用内存、Redis。。
• admin：后台。建议加 IP 白名单或二次验证，不要和主站同级暴露。
• m：移动端或 H5 活动页。
• test / dev：测试环境。必须加 Basic Auth 或 IP 限制，并且 robots.txt 全站禁止抓取。

配一个子域名

1. 加主机记录在 DNS 里新建 A 或 CNAME，主机记录填前缀本身（如 api），不要写成 api.example.com。
2. 服务器上加站点nginx 里为该域名单独建 server 块，配好证书。
3. 分别申请证书免费 DV 证书按域名签发，www 和 api 是两张证书，除非申请通配符证书。
4. 验证用公共 DNS 查该子域名，再访问一次确认证书域名匹配。

泛解析：方便，但要管住

加一条主机记录为 * 的记录，任何未单独配置的子域名都会命中它。适合给每个客户分配独立子域（如 client1.example.com）这类场景。

注意：泛解析最典型的事故是：随手把 * 指到生产服务器，结果别人扫到 test.example.com、old.example.com 都能打开同一个站，搜索引擎把重复内容收录一堆。要用泛解析，就在 nginx 里配默认 server 直接返回 444 或 404。

泛解析与证书

通配符证书（*.example.com）只能通过 DNS-01 验证签发，也就是在 DNS 里加一条指定的 TXT 记录。它只覆盖一级子域，a.b.example.com 不在范围内。证书到期续期也依赖这条 TXT，如果 DNS 权限在别人手里，自动续期会失败。

什么时候不该用泛解析

子域名数量固定（就那五个）时，逐条配置更安全：多一条记录就多一个可能被遗忘的入口，而泛解析会让「遗忘」变成默认开放。另外泛解析记录与根域名的 CNAME 冲突，接 CDN 时要单独处理。

资料来源

• RFC 4592：通配符（wildcard）DNS 记录的解析规则。
• 阿里云云解析文档：泛解析记录配置与生效说明。
• CA/Browser Forum 基线要求：通配符证书须使用 DNS-01 验证。