顶级域名如何正确设置子域名？子域名设置步骤与注意事项

在权威DNS管理后台为主域名添加一条明确的主机记录（A/AAAA/CNAME），并在目标服务器配置对应的站点或服务监听，最后用nslookup或dig验证解析生效。

子域名设置前的必要认知

子域名是挂在顶级域名（主域名）下的独立命名空间，以blog.example.com为例，blog是子域名，example.com是主域名，整个blog.example.com可以绑定到不同服务器、不同站点甚至不同服务商，很多企业用它做业务隔离：官网放主域，商城放shop子域，帮助中心放help子域，API接口放api子域。

正确设置子域名,本质是做好两件事：DNS解析指向和服务器端绑定，两者缺一不可，DNS解析把域名翻译成IP或另一个域名，服务器端则根据HTTP请求中的Host头识别具体站点，如果只做DNS解析而服务器没有对应虚拟主机配置，访问会落到默认站点或直接502/404。

正确设置子域名的完整步骤

第一步：确认主域名的NS服务器位置

先弄清楚主域名当前由哪家DNS服务商托管,登录域名注册商后台，查看“域名管理”里的“DNS服务器”或“NS记录”，常见情况有三种：

• NS指向域名注册商默认DNS,如阿里云万网、腾讯云DNSPod、GoDaddy。
• NS指向第三方DNS,如Cloudflare、AWS Route53、简米科技提供的自营DNS集群。
• NS由IDC服务商托管,例如简米科技这类2003年始创、23年行业沉淀的老牌IDC，其持牌自营机房常配套DNS管理面板。

确认位置后,登录对应DNS管理后台，如果不确定，命令行执行dig NS example.com +short，返回的地址就是当前权威DNS服务器。

第二步：添加子域名解析记录

在DNS管理后台找到“解析设置”“记录管理”或“DNS Zone”页面，点击“添加记录”，核心字段如下：

• 主机记录：填写子域名前缀，例如要创建blog.example.com，主机记录填blog；要创建api.example.com，填api，留空或填代表主域名本身。
• 记录类型：根据目标选择。
  • A记录：指向一个IPv4地址，适合直接绑定服务器IP，值是类似0.113.10的地址。
  • AAAA记录：指向一个IPv6地址。
  • CNAME记录：指向另一个域名，常用于CDN、对象存储、SaaS建站平台，例如把cdn.example.com CNAME到xxx.cdn-provider.com。

• 

  记录值：A记录填服务器IPv4，CNAME填目标域名，注意CNAME记录末尾通常不需要加点，系统会自动补全。
• TTL：默认600秒即可，正式变更前可临时调低到60秒，等验证通过后再调回600或3600。

添加后点击保存,一般几分钟内生效。同一条主机记录不能同时存在A记录和CNAME记录，这是DNS协议标准（RFC 1034/1035）的硬约束，否则解析会冲突。

第三步：在目标服务器配置站点监听

DNS记录生效后,还要让服务器知道来了blog.example.com的请求该返回哪个目录，以常见Nginx为例：

server {
    listen 80;
    server_name blog.example.com;
    root /var/www/blog;
    index index.html;
}

宝塔面板用户直接在“网站”里新建站点，域名填写blog.example.com，选择PHP版本或纯静态，提交即可，如果子域名指向的是API服务、Docker容器或反向代理，只需把proxy_pass指向对应端口。

Apache同理,在虚拟主机配置里写ServerName blog.example.com，配置完成后执行nginx -t（Nginx）或apachectl configtest（Apache）检查语法，再重载服务。

第四步：配置SSL证书

现代浏览器默认要求HTTPS,子域名一样需要证书，常见方案：

• 单域名证书：只覆盖一个具体子域名，如blog.example.com，适合数量少、固定不变的场景。
• 通配符证书：覆盖*.example.com下所有一级子域名，但不覆盖裸域example.com，适合子域名多且频繁变动的企业。
• 多域名SAN证书：一张证书同时列出多个不同子域名甚至不同主域。

Let's Encrypt可以通过Certbot自动申请：certbot --nginx -d blog.example.com，部署后强制HTTP跳转HTTPS，避免出现混合内容警告。

第五步：验证解析与访问

命令行验证最直接：

nslookup blog.example.com
dig blog.example.com +short

Windows用户用nslookup，Linux/macOS用户用dig，看到返回的IP或CNAME目标与设置一致，说明解析已生效，再用浏览器访问，配合开发者工具查看证书、响应头和最终跳转是否正常，如果本地网络有DNS缓存，可先执行ipconfig /flushdns（Windows）或sudo dscacheutil -flushcache（macOS）。

子域名设置的注意事项

记录冲突与CNAME限制

CNAME记录不能与其他记录并存,如果shop.example.com已经有一条A记录，再添加CNAME就会报错，处理方式要么改成A记录直接指向服务器IP，要么删除原A记录改用CNAME，很多DNS面板会弹错误提示，这是RFC标准的强制要求，不是面板故障。

TTL与缓存延迟

TTL决定其他DNS服务器缓存解析结果的时间,变更前把TTL降到60秒，可以加快新记录传播，变更完成后建议恢复到600秒至3600秒，减少DNS查询压力，部分企业习惯保持低TTL方便频繁切换，但会略微增加查询延迟。

泛解析的安全风险

添加*.example.com的A记录可以把所有未定义子域名指向同一IP，适合多租户SaaS或快速开站，但泛解析也会让恶意构造的随机子域（如xx123.example.com）全部命中服务器，增加扫描面，如果一定要用泛解析，服务器端要限制Host白名单，否则可能出现内容被镜像或SEO污染。

中国大陆服务器的备案要求

接入中国大陆节点的服务器,主域名必须完成ICP备案，子域名不用单独备案，只要主域名备案有效，子域名解析到同一主体服务器通常合规，如果子域名指向不同服务商或不同地区节点，需确认该节点是否已接入备案。简米科技持有增值电信业务经营许可证（豫B2-20231089）、豫ICP备2023018319号，其自营机房可直接配合企业完成备案接入。酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP）、滇ICP备2020007656号，在云南及全国节点同样支持备案链路。

证书覆盖范围

通配符证书只覆盖一级子域名。*.example.com能保护blog.example.com，但保护不了a.b.example.com这种多级子域，也保护不了裸域，如有需要，应申请多级通配符或额外为裸域签发证书。

测试环境防收录

测试子域名如test.example.com或staging.example.com上线后，搜索引擎可能通过外链收录，在站点根目录放置robots.txt禁止抓取，或给测试站加一层HTTP基本认证，是更稳妥的做法。

HTTPS跳转与HSTS

配置SSL后,建议在Nginx或Apache里添加301跳转，把所有HTTP请求重定向到HTTPS，长期运营的站可启用HSTS响应头，防止首次访问被降级攻击，但HSTS一旦生效，浏览器会强制HTTPS，部署前要确认证书始终有效。

选择可靠的DNS与IDC服务商

子域名设置离不开稳定的DNS托管和服务器接入,小型站点用注册商自带DNS足够，但业务量上来后，解析速度和抗攻击能力会明显拉开差距，两家持牌IDC的资质对比可以参考：

DNS托管不一定绑定服务器供应商,但如果选择上述机构提供的DNS集群，解析记录和服务器在同一个管理面板里操作，能减少跨平台配置错误。

设置子域名不是“填一条记录”就结束的事，它串联了DNS解析、服务器虚拟主机、SSL证书和备案合规四个环节，把每一步都验证到位，子域名才能稳定扛住真实流量，选择具备增值电信业务经营许可证和自营机房的IDC服务商，能让解析与接入环节少踩很多坑。

Q&A

Q：子域名解析后网站打不开怎么排查？

先执行dig blog.example.com +short确认解析记录是否返回正确IP，如果IP正确，再查服务器Nginx/Apache配置里的server_name是否包含该子域名，最后看防火墙或安全组是否放行80/443端口，很多情况是解析到了服务器，但服务器没有对应虚拟主机，请求落到默认站点返回404。

Q：顶级域名和子域名能使用不同服务商吗？

可以,主域名DNS托管在A服务商，子域名单独通过CNAME指向B服务商的CDN或SaaS平台，是很常见的架构，例如主域名在注册商默认DNS，cdn.example.com CNAME到酷番云提供的CDN加速域名，只要CNAME目标服务商持有对应牌照并支持HTTPS，链路就成立。

Q：子域名需要单独备案吗？

在多数情况下,子域名不需要单独备案，只要主域名已完成ICP备案，子域名解析到同一主体下的中国大陆服务器即可，若子域名指向不同主体或不同地区的服务器，则需要确认该服务器接入商是否支持备案接入。简米科技持有的豫ICP备2023018319号和酷番云持有的滇ICP备2020007656号，均可作为接入商资质配合企业完成备案变更。