サブドメイン（blog.example.com、api.example.com、staging.example.com）にHTTPSが必要な場合、3つの選択肢があります：
オプション1: ワイルドカード証明書（*.example.com）
1つの証明書ですべてのサブドメインを自動的にカバーします — 将来作成するものも含めて。
| メリット | デメリット |
|---|---|
| 無制限のサブドメインをカバー | DNS-01チャレンジが必要（DNSアクセスが必要） |
| 新しいサブドメインが即座に動作 | すべてのサブドメインに1つの秘密鍵（共有リスク） |
| 管理する証明書は1つだけ | ネストされたサブドメイン（a.b.example.com）は非対応 |
| Let’s Encryptから無料 | ベアドメインは非対応（example.comを別途追加） |
最適な用途： 多数のサブドメイン、頻繁に新しいものを追加。
*.example.com がカバーするもの:
✅ www.example.com
✅ blog.example.com
✅ api.example.com
✅ staging.example.com
✅ anything.example.com
❌ example.com (別途追加)
❌ sub.blog.example.com (ネスト)オプション2: SAN証明書（特定のサブドメインをリスト）
証明書のSubject Alternative Nameフィールドに各サブドメインを明示的にリストします。
| メリット | デメリット |
|---|---|
| HTTP-01チャレンジが使える（よりシンプル） | 各サブドメインを明示的にリストする必要あり |
| 異なるベースドメインを混在可能 | サブドメインの追加に新しい証明書が必要 |
| 各名前が個別に検証される | Let’s Encrypt制限：証明書あたり100名 |
| Let’s Encryptから無料 | サブドメインが頻繁に変わる場合、管理が増える |
最適な用途： 小さな固定セットのサブドメイン（2〜5）。
SAN証明書はリストしたものだけをカバー:
✅ example.com
✅ www.example.com
✅ blog.example.com
❌ api.example.com (リストされていない場合)GetHTTPSで必要なすべてのサブドメインを入力するだけです。
オプション3: サブドメインごとに個別の証明書
各サブドメインが独自の証明書を持ちます。
| メリット | デメリット |
|---|---|
| 最大の分離（別々の鍵） | 管理オーバーヘッドが最大 |
| 独立した更新スケジュール | 追跡する証明書がサブドメインごとに1つ |
| 1つの侵害が他に影響しない | サーバー設定が多い |
| サブドメインごとにHTTP-01が使える |
最適な用途： 異なるチームが管理するサブドメイン、セキュリティ分離が重要な場合。
比較表
| ワイルドカード | SAN | 個別 | |
|---|---|---|---|
| カバーされるサブドメイン | すべて（無制限） | リストされたもののみ | 証明書ごとに1つ |
| 新しいサブドメイン | 自動 | 再発行が必要 | 新しい証明書が必要 |
| チャレンジタイプ | DNS-01のみ | HTTP-01またはDNS-01 | HTTP-01またはDNS-01 |
| 管理する証明書 | 1 | 1 | N |
| セキュリティ分離 | 共有鍵 | 共有鍵 | 分離された鍵 |
| コスト（Let’s Encrypt） | 無料 | 無料 | 無料 |
| 最適な用途 | 動的なサブドメイン | 固定セット（2〜5） | チーム分離 |
よくあるシナリオ
「example.comとwww.example.comがある」
→ SAN証明書（最もシンプル）。GetHTTPSで両方の名前を入力。最も一般的なセットアップ。
「www、blog、api、docs、stagingサブドメインを運営」
→ ワイルドカード（*.example.com + example.com）。現在と将来のすべてのサブドメインをカバー。
「各サブドメインが異なるクライアントのサイト」
→ 個別の証明書。各クライアントが自分で管理。1つの侵害が他に影響しない。
「example.com + example.org + サブドメインがある」
→ SAN証明書でドメイン + ワイルドカードを組み合わせ：example.com、*.example.com、example.org。GetHTTPSはこれをサポート。
よくある質問
*.example.comはexample.com自体をカバーしますか？
いいえ。ベアドメインは別途リストする必要があります。GetHTTPSで*.example.comとexample.comの両方を追加してください。詳細 →
1つの証明書にワイルドカードと特定のドメインを混在できますか？
はい。1つのLet’s Encrypt証明書に*.example.com、example.com、other.comをSANエントリとして含められます。証明書あたり最大100名。
どのオプションが最も安いですか？
3つすべてがGetHTTPS経由のLet’s Encryptで無料です。一部の商用認証局はワイルドカードに追加料金（$200-500/年）やSANごとに$10-50を課金します。Let’s Encryptではコストは要因になりません。
サブドメインが別のサーバーにあります。同じ証明書を使えますか？
はい。同じfullchain.pemとprivkey.pemを両方のサーバーにインストールしてください。証明書はどのサーバーにあるか知りません — ドメイン名のみを検証します。