泛解析开着会发生什么：目录站子域和城市分站的四个坑
泛
泛解析是一条主机记录为星号的解析，任何没有单独配置的子域都会被它接住，解析到你指定的 IP 或 CNAME。多租户产品、自动生成的预览环境、以及图省事的城市分站，都爱用它。
先说一句公道话：搜索引擎不爬 DNS 区域文件，也不会因为一条解析记录惩罚你。真正出问题的是上一层——服务器拿到一个没定义过的主机名时，返回了什么。
图片来源：网络，版权归原作者所有，侵权请联系删除
坑一：无限重复的站点副本
最常见的配置是虚拟主机兜底太宽：无论 Host 头是什么，都交给同一个应用，应用找不到对应数据就渲染首页，状态码 200。于是 randomstring.example.com、www2.example.com、随便什么前缀，全都是一份完整的首页。
后果不是「多了几个页面」，而是本该集中在一个规范主机名上的信号被摊薄，内链、结构化数据、OG 标签里也可能混进错误主机。更麻烦的是你很难察觉，因为这些页面正常用户永远不会访问。
坑二：索引膨胀与抓取浪费
自动生成的多租户子域、预览环境，一次就能产出几千个低质量 URL。每一个都要消耗抓取配额，而这部分配额本该花在条目页和分类页上。索引里低质量主机名多了，整体质量信号会被稀释。
目录站如果有「城市分站」，这条尤其要留意：三百个城市子域如果内容只是模板替换地名，本质上是同一批页面被复制了三百遍。
坑三：子域接管
泛解析指向托管平台（静态页服务、对象存储、建站平台）时，平台侧往往允许任何人占用一个尚未被占用的主机名。第三方只要抢先声明，就能在你的品牌子域下提供他自己的内容。搜索引擎会把这些内容关联到你的域名上，这既是安全问题也是声誉问题。
预防办法不是关掉泛解析，而是在应用层做主机名白名单：不在名单里的一律返回 404，不渲染任何内容。
坑四：预览环境被抓走
自动生成的预览地址如果通过泛解析可达、返回 200、又没做认证，基本一定会被发现并抓取。生产环境的正式页面和预览副本互相竞争，是排名莫名波动里最容易排查、也最常被忽略的一类原因。
安全用法与不安全用法的分界
| 场景 | 推荐做法 | 不要这么做 |
|---|---|---|
| 普通企业站 | 白名单 + 未匹配返回 404 | 兜底渲染首页返回 200 |
| 城市分站 | 内容真实有差异，各自自引用 canonical | 模板换地名批量生成 |
| 多租户子域 | 每租户自 canonical，营销页只放主域 | 所有租户共用一套描述 |
| 预览 / 测试环境 | 要求认证，并加 noindex 响应头 | 公网可达且返回 200 |
| 该消失的主机名 | 返回 404 | 301 到首页（会鼓励继续抓取） |
五步自查
第一步，随便造一个从没配置过的主机名请求一下，看状态码和响应体。返回 200 且内容是首页，就是红旗。
第二步，用搜索引擎的 site 查询看主域下有没有不该出现的主机名。
第三步，翻日志里不认识的 Host。机器人往往比人先发现这些地址。
第四步，抽查非规范主机名下的页面 canonical 指向哪里。如果指向自己而不是生产地址，被收录只是时间问题。
第五步，确认 sitemap、内链、结构化数据、OG 标签里全部使用规范主机名。
修的时候注意两件事
一是确定唯一的规范主机名后，从所有非规范主机做服务器级重定向，保留路径，让信号归集到对应页面而不是堆到首页。
二是那些压根不该存在的主机名，返回 404 比重定向更好。重定向等于告诉爬虫「这里确实有东西」，只会招来更多抓取。
顺带一提证书
泛解析配上通配符证书，只有一种验证方式能签——DNS-01。它要求你能通过 API 改 DNS 记录，好处是顺便可以自动化续期，代价是密钥权限要保管好。证书只覆盖一级：星号证书管得了 a.example.com，管不了 a.b.example.com，多级子域需要单独安排。
另外，DNS 层面建议把泛解析记录的 TTL 设在 300 到 600 秒。真出事需要切走的时候，短 TTL 能显著缩短生效窗口。邮件域如果也开了泛解析，SPF、DKIM、DMARC 三件套必须配齐，否则子域可以被用来伪造发件人。