自托管一旦上了"泛域名反代 + 一堆子服务"，就会反复面对一个麻烦：给每个子域名单独申请证书，到期还得逐个续。更别扭的是，很多子服务（NAS、内网工具）没有 80 端口对外，用正统的 HTTP 校验根本过不去。ACME 通配符证书正是为此而生：一次签下发 *....