顶级域名和二级域名的区别，单看定义可能觉得一目了然，但放到 .com.cn、.co.uk、www.ipipp.com 这类实际域名里，很多人还是会判断错。域名层级不是简单的从右往左数两段，它同时受到DNS层级、公共后缀列表和注册规则的影响。以 ipipp.com 为例，.com 是顶级域名，example 是二级域名；而在 www.ipipp.com 中，www 只是主机名或三级域名。弄混这个关系，会直接影响Cookie会话共享、通配符证书覆盖范围、跨子域接口调用以及品牌域名选择。
从根域往下看，每一层都有明确的归属。真正理解顶级域名和二级域名，不能只看表面有几个点，还要区分DNS层级、公共后缀和可注册域这三套口径。
一、从DNS树看层级：顶级域名和二级域名到底怎么定位
DNS命名空间是一棵倒置的树，根域在最顶端，通常用一个点表示。根域之下是顶级域名，也就是TLD，由ICANN授权管理，分为通用顶级域名和国家地区代码顶级域名。通用顶级域名常见的有 .com、.net、.org、.info，也包括后来开放的新通用顶级域名如 .app、.dev；国家地区代码顶级域名则有 .cn、.uk、.jp 等。顶级域名本身不能直接被用户注册，它由注册局负责运营，普通用户只能申请顶级域名之下的名称。
二级域名就是顶级域名下面一层。比如 ipipp.com 中，.com 是顶级域名，example 是二级域名。很多注册商页面所说的“注册一个二级域名”，其实就是让你在某个顶级域名下挑选一个名字，例如注册 ipipp.com。技术上讲，example 这一层就是二级域名。注册完成后，你可以继续往左添加标签，形成 www.ipipp.com、api.ipipp.com，这些是三级域名或主机名，也可以统称为子域名。
复杂情况出现在多段公共后缀。以 www.ipipp.com.cn 为例，技术上 .cn 是顶级域名，com 是二级域名，example 是三级域名，www 是四级域名。但从注册角度看，公共后缀列表把 com.cn 视为一个有效后缀，因此 ipipp.com.cn 是可注册域，example 被注册者当作自己的二级名称。这就是为什么很多资料说 ipipp.com.cn 是二级域名，实际上说的是注册视角，而不是DNS层级视角。理解这两套口径，后面判断Cookie和证书范围时就不容易混乱。
# 查看 ipipp.com 的权威服务器委派过程 dig +trace ipipp.com # 查看 com.cn 的名称服务器，它属于 .cn 下面的二级类别域名 dig +short NS com.cn
二、技术配置差异：DNS、证书、Cookie与跨域
DNS解析上，顶级域名服务器只维护下一级域名的授权信息，不会直接返回某台主机的A记录。查询时先访问根服务器，根返回 .com 的权威服务器，.com 返回 ipipp.com 的权威服务器，最后 ipipp.com 返回 www 的A记录。这种逐级委派决定了二级域名的所有者可以控制自己域下的所有子域名解析。泛解析 *.ipipp.com 通常能覆盖未显式定义的直接子域，但 ipipp.com 本身和更深层子域是否命中要看权威DNS实现，配置前最好用具体记录验证。
证书覆盖范围是另一个高频问题。通配符证书 *.ipipp.com 只能覆盖一层子域名，例如 www.ipipp.com、api.ipipp.com，不能覆盖 a.b.ipipp.com，也不能覆盖 ipipp.com 裸域。如果需要同时保护裸域和子域，应申请多域名证书或使用自动签发工具。涉及 .com.cn 这类公共后缀时，公共CA通常不允许对 com.cn 本身签发通配符证书，因为 com.cn 属于公共后缀，证书申请主体应是 ipipp.com.cn 这样的可注册域。这再次体现公共后缀列表和DNS层级的区别。
server {
listen 80;
server_name ipipp.com *.ipipp.com;
root /var/www/example;
index index.html;
}
Cookie的Domain参数也有严格的层级边界。把 Domain 设置为 ipipp.com 时，www.ipipp.com、api.ipipp.com 等子域都可以携带该Cookie；把 Domain 设置为顶级域名 .com 时浏览器会直接拒绝，因为顶级域名不能作为Cookie域。对于 example.co.uk 这种结构，Domain 不能设置为 co.uk，因为 co.uk 是公共后缀，浏览器会按可注册域规则拒绝。正确做法是设置可注册域 example.co.uk。如果需要在多个不同二级域名之间共享会话，例如 a.ipipp.com 和 b.ipipp.com，Domain 应该是它们共同的父域 ipipp.com；而 ipipp.com 和 other.com 之间无法通过Domain共享Cookie，只能走SSO或OAuth。
Set-Cookie: sid=abc123; Domain=ipipp.com; Path=/; Secure; HttpOnly; SameSite=Lax
跨域请求也受域名层级影响。同源策略比较的是完整主机名、协议和端口，www.ipipp.com 和 api.ipipp.com 属于不同源，即使共享同一个二级域名。需要跨子域通信时，CORS 响应头要明确列出允许的 Origin，或使用白名单判断。旧的做法 document.domain 可以通过设置成父域实现跨子域通信，但该方案已被逐步废弃，现代项目更推荐 postMessage 或基于OAuth的鉴权。理解底层是二级域名不自动带来同源优势，可以避免在架构设计时留下安全漏洞。
三、常见误区提醒：这些叫法最容易让人踩坑
第一个误区是把 .com.cn、.org.cn、.net.cn 当成顶级域名。从DNS层级看，.cn 才是国家地区代码顶级域名，com、org、net 是 .cn 下的二级类别域名。注册平台为了简洁，常把 com.cn 说成“域名后缀”甚至“顶级域名后缀”，这是一种营销口径，并不符合DNS技术定义。类似情况还有 .co.uk、.com.au、.co.jp。准确判断方法之一是用 Public Suffix List 查询，只要某个后缀出现在公共后缀列表中，就不应当作可注册域的二级域名部分。例如 com.cn 是公共后缀，ipipp.com.cn 才是可注册域。
第二个误区是认为 www 是二级域名。很多教程把 www.ipipp.com 称为“带www的二级域名”，这种说法其实混淆了主机名和二级域名。在 ipipp.com 这个域中，example 才是二级域名，www 是三级域名或主机名。不能说 www 是二级域名，除非它直接出现在顶级域名左侧，例如 www.com 这样的域名，但实际很少存在注册域名为 www.com 的场景。从技术上讲，如果注册了 ipipp.com，www 就是子域。所以配置 Nginx 或 Apache 时，www 和 example 不是同一层级。
第三个误区是把二级域名和子域名完全等同。子域名是一个相对概念，指的是某个域名之下继续划分出来的所有名称。例如 www.ipipp.com 是 ipipp.com 的子域名，api.www.ipipp.com 是 www.ipipp.com 的子域名。二级域名则是特指与顶级域名相邻的那一层，一个域名的二级域名只有一个，子域名却可以无限多层。弄混这两者，在设置泛解析、Cookie Domain 和证书覆盖范围时容易出现漏配。
实用判断口诀：先查公共后缀，再取左侧第一个标签加后缀，就是可注册域，也就是很多场景下需要填写的站点主域。例如 www.ipipp.com.cn 的公共后缀是 com.cn，可注册域是 ipipp.com.cn；DNS层级中的二级域名则是 com.cn 里的 com。实际做技术配置时，Cookie、证书、CORS 都基于可注册域，而不是单纯数点，这一点务必区分。可以用命令观察委派过程，也可以借助浏览器的Cookie控制台验证 Domain 参数是否被接受。只要把层级关系、公共后缀、可注册域三件事分开看，就能避开证书、Cookie和泛解析里的常见坑。