Caddy服务器中通配符证书与HTTPS记录的配置要点

在Caddy服务器2.10及以上版本中，使用通配符证书时需要注意一个关键配置细节：当通过通配符域名（如*.example.com）配置站点时，Caddy默认不会为所有子域名自动创建HTTPS记录。这个行为可能会影响加密客户端问候（ECH）等高级TLS功能的正常工作。

问题现象分析

当管理员采用如下配置时：

example.com *.example.com {
    # 站点配置
}

Caddy会为根域名example.com和通配符*生成HTTPS记录，但不会为具体的子域名（如www.example.com）自动创建对应的HTTPS记录。这会导致：

1. 根域名可以正常使用ECH等高级加密功能
2. 具体子域名无法获取HTTPS记录，影响某些安全功能的实现

解决方案

从Caddy 2.10版本开始，更推荐的配置方式是：

1. 为每个需要特殊配置的子域名创建独立的站点块
2. 通配符证书会自动覆盖所有子域名
3. 这种分离配置能确保每个域名都获得完整的HTTPS记录支持

示例配置：

example.com {
    # 根域名配置
}

www.example.com {
    # 子域名专用配置
}

api.example.com {
    # 另一个子域名配置
}

技术背景

Caddy的这种设计选择基于以下考虑：

1. 通配符证书本身已经包含对所有子域名的覆盖
2. 独立配置可以更精确地控制每个域名的行为
3. 减少不必要的DNS记录生成，提高管理效率

对于需要ECH等高级功能的场景，建议采用显式子域名配置，这能确保所有必要的HTTPS记录都被正确创建和维护。

最佳实践

1. 对于关键业务子域名，使用显式配置
2. 通配符配置仅用于确实需要统一管理的场景
3. 定期检查DNS记录，确认HTTPS记录符合预期
4. 在升级Caddy版本时，注意配置方式的变更

通过合理规划域名配置策略，可以充分发挥Caddy在证书管理和HTTPS支持方面的优势，同时确保所有安全功能都能正常工作。