TLS-сертификат, который защищает домен и все его поддомены одним сертом. Вместо того чтобы для *.example.com требовались отдельные сертификаты для mail.example.com, api.example.com и так далее, один wildcard покрывает их всех.
Wildcard плохо масштабируется глубже одного уровня поддомена. *.example.com покрывает sub.example.com, но не deep.sub.example.com. Для этого нужен отдельный сертификат. Много регистраторов и CA продвигают мультидоменные (SAN) сертификаты, потому что их проще маркетить, не потому что они технически лучше — они просто проще продавать.
Wildcard имеет смысл, если ты быстро разворачиваешь инфраструктуру, проксируешь трафик через поддомены или запускаешь сервисы с высокой или непредсказуемой кардинальностью поддоменов. Let's Encrypt выпускает их бесплатно. Самоподписанные wildcard тоже ничего не стоят. Но вот беда: браузеры будут визжать на самоподписанные сертификаты, а ACME-валидация (DNS или HTTP) требует доказать контроль базового домена при каждом продлении.
Для бункерных сеток: wildcard + DNSSEC + CAA-записи, которые лимитят только твой CA = сложнее хайджекить. CAA-записи особенно: они говорят CA «выпускайте только из этого списка». Нет CAA — любой CA может выпустить для твоего домена.