(Esta es una nueva respuesta a una vieja pregunta porque creo que esto ayuda a comprender que no hay "magia" detrás de los certificados y CA)
Como una extensión de la respuesta aprobada dada por @Steffen Ullrich
El certificado completo para identificar sitios web es solo un gran negocio de dinero. Los certificados X509 están definidos (entre otros) por RFC5280 y cualquiera puede ser una CA raíz o una CA intermedia, todo depende de la confianza que tenga con respecto a esa entidad.
Por ejemplo: si está en un dominio de Active Directory, su controlador de dominio principal es una autoridad de certificación raíz de confianza de forma predeterminada. Mientras tanto, no hay absolutamente ningún otro tercero involucrado.
En Internet, el problema es identificar "en quién puede confiar" porque es mucho más grande que una sola compañía. Y, por lo tanto, los proveedores de navegadores proporcionan una lista arbitraria personalizada de CA raíz en la que confiará sin solicitar su consentimiento.
Es decir: si tienes una muy buena relación con la fundación Mozilla, entonces tu propia CA raíz arbitraria autofirmada podría agregarse a esa lista en la próxima versión de su navegador Firefox ... ¡Solo porque lo decidieron!
Además, no hay RFC que definan el comportamiento y las reglas sobre cómo deben comportarse los navegadores con respecto a los certificados. Este es un consenso implícito de que debido a que el "CN" del certificado es igual al nombre de dominio, se supone que debe coincidir.
Debido a que esto no fue suficiente en algún momento, todos los proveedores de navegadores anularon implícitamente que un certificado comodín del formulario *.domain.comcoincidiría con cualquier subdominio. Pero solo coincide con un nivel: no, sub.sub.domain.com¿por qué es eso? Porque ellos simplemente decidieron eso.
Ahora, acerca de su pregunta original, ¿qué impediría que su certificado de dominio principal pueda crear subcertificados para sus propios subdominios? Es un proceso fácil de verificar para el navegador, solo obtener la cadena de certificados.
La respuesta es: nada
(excepto que técnicamente debe tener una "bandera" en su propio certificado de dominio para hacerlo)
Los vendedores de broswers, si lo encuentran lo suficientemente conveniente, pueden decidir apoyarlo.
Sin embargo, volviendo a mi primera declaración, este es un gran negocio de dinero. Entonces, esas pocas CA raíz que tienen acuerdos con los proveedores de navegadores están gastando grandes cantidades de dinero para aparecer en esa lista. Y hoy, recuperan ese dinero porque tiene que pagar por cada certificado de subdominio individual u obtener un comodín que es mucho más costoso. Si le permitieran crear sus propios certificados de subdominio, esto reduciría enormemente sus ganancias. Por eso, a partir de hoy, no puedes hacerlo.
Bueno, todavía puede hacerlo, porque sería estrictamente un certificado x509 válido, pero ningún navegador lo reconocería.