如何通过Traefik的dnsChallenge为www.*.example.org申请SSL证书？

结论 #

可以同时获取覆盖*.example.org和www.*.example.org的证书，调整配置即可实现。

原因说明 #

你当前配置签发的通配符证书仅包含*.example.org和根域名example.org，而通配符证书的匹配规则为仅匹配通配符所在层级的子域名：

• *.example.org可以匹配abc.example.org、www.example.org这类一级子域名
• 无法匹配www.abc.example.org这类二级子域名，因为它比通配符层级多了一级

配置修改方案 #

你当前已经使用了DNS挑战（Route53），完全满足多通配符证书的申请要求，只需调整web-secure-router下的TLS域名配置即可：

tls:
  certResolver: letsencrypt
  domains:
    - main: "*.example.org"
      sans:
        - "example.org"
        - "www.*.example.org"

如果有其他层级的域名需要覆盖，也可以继续添加到sans列表中。

额外配置 #

需要在你的DNS解析中新增一条www.*.example.org的A记录，指向你的Traefik服务器IP即可，也可以直接配置*.*.example.org的泛解析覆盖所有二级子域名。

修改配置后重启Traefik，会自动触发新证书的申请，签发完成后即可同时适配两类通配符域名。

内容的提问来源于stack exchange，提问作者marke