Un registro DNS comodín responde por cualquier subdominio que no haya definido explícitamente; así es como un servicio le da a cada cliente su propia dirección sin tocar el DNS para cada uno.

*.yourdomain.com.  300  IN  A  1.2.3.4

El registro concreto gana siempre

Si existe mail.yourdomain.com, es el que se usa. El comodín solo responde por nombres sin registro propio, así que no puede romper lo que ya tiene.

El certificado tiene que coincidir

Un certificado normal para yourdomain.com no cubre sus subdominios. Sin un certificado comodín, cada subdominio nuevo enseña un aviso del navegador, que para un cliente se ve exactamente igual que un sitio pirateado.
certbot certonly --manual --preferred-challenges dns \
  -d yourdomain.com -d "*.yourdomain.com"

Un certificado comodín solo puede emitirse mediante validación por DNS, no con la comprobación HTTP de siempre. Eso implica un token de API de su proveedor de DNS si quiere que se renueve sin vigilancia, y sin vigilancia es la única renovación que vale.

El servidor web tiene que aceptarlos

server {
    server_name ~^(?<sub>.+)\.yourdomain\.com$;
    root /var/www/tenants/$sub;
}

Eso captura el subdominio y lo usa: así un solo bloque de servidor atiende a mil clientes.

Qué vigilar

  • Ahora una errata resuelve en vez de fallar, así que una dirección mal escrita llega a su servidor en lugar de dar error.
  • Todo lo que se fíe del nombre de host tiene que validarlo: un nombre de inquilino sacado de una URL es entrada del usuario.
Si solo necesita un puñado de subdominios, defínalos. El comodín es para el caso en que de verdad no puede saber los nombres de antemano.