子域名并不是向某个机构“单独购买”的独立域名，而是在你已经拥有主域名的基础上创建出来的二级或多级名称。例如你拥有 example.com，就可以申请或配置 blog.example.com、api.example.com、shop.example.com 等子域名。严格来说，子域名的“申请”通常指两件事：一是先注册并持有主域名；二是在域名 DNS 解析平台中新增对应的解析记录，让子域名指向指定服务器、网站、邮箱或服务。
第一步是确认你是否已经拥有主域名。如果还没有，需要先到正规域名注册商购买主域名，例如阿里云、腾讯云、华为云、西部数码、GoDaddy、Namecheap 等。选择域名时建议优先考虑简短、易记、与品牌相关的名称，并确认后缀是否适合业务场景。国内网站如果要部署在中国大陆服务器上，通常还需要进行 ICP 备案；如果服务器在海外，一般不需要备案，但访问速度、合规要求和搜索引擎体验要综合考虑。
第二步是进入域名管理后台。登录你的域名注册商或 DNS 服务商控制台，找到“域名管理”“DNS 解析”“解析设置”或类似入口。很多人容易混淆注册商和 DNS 服务商：域名可以在 A 平台购买，但 DNS 托管在 B 平台，例如 Cloudflare。你需要去当前实际生效的 DNS 平台配置子域名，而不是随便找一个后台添加。判断方法是查看域名的 NS 服务器，如果 NS 指向 Cloudflare，就应在 Cloudflare 中添加解析；如果指向阿里云 DNS，就在阿里云中添加。
第三步是新增子域名解析记录。常见记录类型包括 A 记录、AAAA 记录、CNAME 记录、MX 记录和 TXT 记录。A 记录用于把子域名指向 IPv4 地址，例如将 www.example.com 指向 1.2.3.4；AAAA 记录用于指向 IPv6 地址；CNAME 记录用于把子域名别名到另一个域名，例如 blog.example.com 指向 username.github.io；MX 记录用于邮箱服务；TXT 记录常用于域名验证、SPF、DKIM、DMARC 等安全配置。
如果你要给网站配置子域名，最常见的做法是添加 A 记录或 CNAME 记录。假设你要创建 blog.example.com，并且服务器公网 IP 是 8.8.8.8，那么主机记录填写 blog，记录类型选择 A，记录值填写 8.8.8.8，TTL 可以使用默认值，例如 600 秒或 10 分钟。如果你使用的是第三方建站平台、CDN、对象存储或 GitHub Pages，对方通常会要求你添加 CNAME，例如 blog 指向 pages.example-service.com，这时不要填 IP，而应按平台文档填写目标域名。
如果你要配置 API 服务，可以创建 api.example.com；如果要配置后台系统，可以创建 admin.example.com；如果要做测试环境，可以创建 test.example.com 或 staging.example.com。经验上，不建议随意暴露敏感含义过强的子域名，例如 internal、db、redis、vpn 等，除非有严格访问控制。子域名命名应保持清晰、统一、便于维护，例如使用 app、static、cdn、docs、help、pay、sso 等可读性强的名称。
第四步是配置服务器或应用。DNS 解析只是让访问者能找到服务器，但服务器还需要知道如何处理这个子域名。以 Nginx 为例，需要在 server_name 中加入 blog.example.com，并配置对应站点目录、反向代理或应用端口。Apache、宝塔面板、1Panel、Caddy、IIS 等工具也都有类似的“绑定域名”或“站点域名”设置。如果只做了 DNS 解析而没有在服务器上绑定域名，访问时可能出现默认站点、404、502 或证书错误。
第五步是申请 HTTPS 证书。现在正式网站基本都应启用 HTTPS。你可以为单个子域名申请证书，例如 blog.example.com，也可以申请通配符证书，例如 *.example.com。单个证书适合子域名数量较少的场景，通配符证书适合有大量子域名或多环境部署的项目。Let’s Encrypt、阿里云、腾讯云、Cloudflare 等都可以提供证书服务。需要注意的是，通配符证书通常要求 DNS 验证，不能只靠普通 HTTP 文件验证。
第六步是等待解析生效并测试。DNS 解析并非总是立即全球同步，通常几分钟到数小时不等，极端情况下可能更久。你可以使用 nslookup、dig、ping 或在线 DNS 检测工具查看子域名是否已经解析到正确地址。例如执行 nslookup blog.example.com，观察返回 IP 是否符合预期。如果使用 CDN 或代理服务，看到的 IP 可能是 CDN 节点 IP，而不是源站 IP，这是正常现象。
在配置过程中，最常见的问题是记录冲突。例如同一个主机记录不能同时合理地配置 A 记录和 CNAME 记录；根域名 example.com 通常不建议直接使用 CNAME，部分 DNS 平台会提供 ALIAS、ANAME 或 CNAME Flattening 作为替代。另一个常见问题是把主机记录写错：想配置 blog.example.com 时，主机记录通常只填 blog，而不是完整填写 blog.example.com，具体以平台界面说明为准。
安全方面，子域名也需要认真管理。长期不用的子域名应及时删除解析，避免出现“子域名接管”风险。例如你曾经把 demo.example.com CNAME 到某个第三方平台，后来第三方项目删除了，但 DNS 记录还在，攻击者可能重新注册对应资源并接管该子域名。企业或团队应定期盘点所有解析记录，标注用途、负责人、到期时间和关联服务。
如果子域名用于业务系统，还要考虑访问控制和隔离策略。后台管理类子域名建议增加 IP 白名单、登录双因素认证、强密码策略和安全网关。测试环境不应使用真实用户数据，接口类子域名应配置限流、鉴权、跨域策略和日志监控。不要因为子域名只是“附属域名”就忽视安全，它与主域名共享品牌信誉，一旦被滥用，可能影响搜索收录、邮件信誉和用户信任。
邮件相关子域名配置也很常见。例如你可以用 mail.example.com 作为邮箱入口，或用 edm.example.com 做营销邮件域名。此时除了 MX 记录，还应配置 SPF、DKIM、DMARC 等 TXT 记录，降低邮件进入废品箱的概率。企业邮件服务商通常会给出完整解析值，按要求复制即可。配置完成后，建议使用邮件检测工具验证发信域名是否通过身份认证。
从实践经验看，子域名规划最好在项目早期就定好规则。个人站点可以简单一些，例如 www、blog、cdn、api；企业项目则建议建立命名规范，例如按业务线、环境和地区区分：api.example.com 用于生产接口，staging-api.example.com 用于预发布，docs.example.com 用于文档，static.example.com 用于静态资源。规范越清楚，后期迁移、排障和权限管理越轻松。
完整流程可以概括为：先注册主域名，确认 DNS 托管平台；然后在解析后台新增子域名记录；接着在服务器、云服务或第三方平台绑定该子域名；再申请并部署 HTTPS 证书；最后进行解析检测、访问测试和安全检查。只要理解“子域名由 DNS 记录创建，服务由服务器或平台承载”这一点，申请和配置过程并不复杂。真正需要长期重视的是记录管理、证书续期、权限控制和废弃子域名清理，这些才是稳定运营的关键。
