给主域名之外的业务单独分配地址，是很常见的做法。博客、接口、后台管理各用一个前缀，比如 blog.example.com、api.example.com，这类地址就是阿里云三级域名。配置本身不复杂，但有三个地方漏掉，就容易碰到解析不生效、证书报错或备案不符。下面按实际操作的顺序走一遍。
一、先分清二级域名和三级域名
example.com 通常被叫作二级域名，由你在阿里云注册或托管的主域名构成。前面加上 www、blog、shop 之类的前缀，得到的就是三级域名。从 DNS 的角度看，两者都是解析记录，差别在用途。主域名一般代表整个网站或品牌，三级域名则用来把具体服务拆开。
三级域名的解析和证书都依附于主域名。主域名没有正常托管，或者备案没完成，后面的步骤都走不下去，所以排查时先从主域名查起。
二、开始前确认主域名状态
打开阿里云控制台，先核对三件事：
- 域名归属：主域名已在阿里云注册，或已经通过转入、DNS 托管接入阿里云。
- DNS 服务器：域名的 DNS 服务器需要指向阿里云云解析 DNS。如果还指向原注册商，你在控制台里加的记录不会生效。
- ICP 备案：三级域名要指向中国大陆的服务器时，主域名必须完成备案，并且服务器所在地和备案信息要对得上。
备案是最容易被拖到最后的一项。测试阶段直接绑定域名没问题，但正式上线时访问被拦截，再回头补备案，少则几天，多则更久。排期时就把备案时间算进去。
三、在云解析 DNS 里添加记录
进入云解析 DNS，选中主域名，点击添加记录。“主机记录”里填的是前缀。要创建 blog.example.com，主机记录写 blog，记录类型选 A，记录值填服务器的公网 IP，TTL 用默认值就行。
实际用得比较多的记录类型有三种：
- A 记录：直接指向一个 IPv4 地址，适合单台 ECS 或固定 IP 的服务。
- CNAME 记录：指向另一个域名。接入负载均衡 SLB、CDN 或对象存储这类背后 IP 会变的服务时，用它更合适。
- TXT 记录：用于域名所有权验证，比如申请证书，或者接入第三方服务时的校验。
加完记录后，用 ping 或 nslookup 查一下解析结果。改过的记录要等 TTL 过期才会在全网生效，一般几分钟到半小时。如果一直查不到，先别反复改，等 TTL 时间过了再看。
四、多子站的拆分思路
假设一个电商站点有几块业务：主站 example.com 做品牌展示，admin.example.com 放商品后台，api.example.com 对外提供接口，promo.example.com 放活动页。
这几个前缀的记录可以这样分。主站和活动页用 A 记录指向各自的 ECS 公网 IP；API 挂在 SLB 后面，api.example.com 用 CNAME 指向 SLB 提供的地址；后台只对办公网出口 IP 开放，访问控制放在安全组和访问策略里做。拆开之后，扩容、迁移和排查都互不干扰，每条记录对应哪套系统也一目了然。
规划时最好维护一张简单的表，列出前缀、用途、记录类型、目标地址和负责人。下线或迁移时，才不会留下没人认领的解析记录，过一段时间谁也说不清它还有没有用。
五、证书怎么选：通配符还是单域名
三级域名上线后，基本都要用 HTTPS。阿里云 SSL 证书服务分单域名和通配符两种。如果 blog、api、shop 这类子域名会越来越多，通配符证书能覆盖 *.example.com 下的所有一级子域名，续期和管理都省事。
申请时有两点要注意。通配符证书只覆盖一层，a.b.example.com 这种多级前缀不在范围内，要单独签。另外，签发通常靠 DNS 验证或文件验证。选 DNS 验证时，如果主域名在云解析里，验证用的 TXT 记录可以自动添加，验证通过后证书才会签发。
证书到期前要续期或替换。在控制台开启到期提醒，或者把到期时间接入监控，比较稳妥。否则某天三级域名突然弹出安全警告，排查起来很被动。
六、常见报错怎么查
- 解析不生效：先看 DNS 服务器是不是已经切到阿里云，再检查主机记录有没有拼错。
- 访问被拦截：多半和备案或防火墙有关。查 ICP 备案状态，以及安全组里 80、443 端口的规则。
- 证书提示不匹配：确认证书覆盖的域名包含当前访问的三级域名。如果不包含，就补签一张。
- 添加记录失败：同一个主机记录下，CNAME 不能和其他类型的记录并存。先删掉冲突的那条再加。
七、小结
阿里云三级域名的配置，主要就是三步：主域名托管正确，云解析里给每个前缀选对记录类型，再配上合适的证书。备案和规划先理清楚，后面的操作基本是重复动作。业务需要长期扩展的话，从一开始就按用途划分前缀，解析和证书统一管理，会省下很多返工。
