(Esta é uma nova resposta para uma pergunta antiga, pois acredito que isso ajuda a entender que não há "mágica" nos certificados e na CA)
Como uma extensão da resposta aprovada dada por @Steffen Ullrich
Todo o certificado para identificar sites é apenas um grande negócio. Os certificados X509 são definidos (entre outros) pelo RFC5280 e qualquer um pode ser uma CA raiz ou uma CA intermediária, tudo depende da confiança que você tem em relação a essa entidade.
Por exemplo: se você estiver em um domínio do Active Directory, seu controlador de domínio primário é uma autoridade de certificação raiz confiável por padrão. Enquanto isso, não há absolutamente nenhum outro terceiro envolvido.
Na Internet ampla, o problema é identificar "em quem você pode confiar" porque é muito maior do que apenas uma empresa. E, portanto, os fornecedores de navegadores fornecem uma lista arbitrária personalizada da CA raiz em que confiarão sem solicitar seu consentimento.
Ou seja: Se você tem um relacionamento muito bom com a fundação Mozilla, sua própria CA raiz autoassinada arbitrária pode ser adicionada a essa lista no próximo lançamento do navegador Firefox ... Só porque eles decidiram!
Além disso, não há RFC que defina o comportamento e as regras sobre como os navegadores devem se comportar em relação aos certificados. Este é um consenso implícito de que, como o "CN" do certificado é igual ao nome do domínio, ele deve corresponder.
Como isso não foi suficiente em algum momento, todos os fornecedores de navegadores envelheceram implicitamente que um certificado curinga do formulário *.domain.comcorresponderia a qualquer subdomínio. Mas corresponde apenas a um nível: não, sub.sub.domain.compor que isso? Porque eles decidiram que sim.
Agora, sobre sua pergunta original, o que impediria que seu certificado de domínio primário pudesse criar sub-certificados para seus próprios subdomínios, é um processo fácil para o navegador verificar, apenas obtendo a cadeia de certificados.
A resposta é: nada
(exceto que tecnicamente você deve ter um "sinalizador" em seu próprio certificado de domínio para fazer isso)
Os fornecedores, se acharem conveniente o suficiente, podem decidir apoiá-lo.
No entanto, voltando à minha primeira declaração, este é um grande negócio de dinheiro. Portanto, as poucas autoridades de certificação raiz que têm acordos com os fornecedores de navegadores estão gastando grandes quantias para aparecer nessa lista. E hoje, eles recebem esse dinheiro de volta porque você precisa pagar por cada certificado de subdomínio individual ou obter um curinga que é muito mais caro. Se eles permitissem criar seus próprios certificados de subdomínio, isso reduziria tremendamente o lucro deles. É por isso que, a partir de hoje, você não pode fazê-lo.
Bem, você ainda pode, porque seriam estritamente certificados x509 válidos, mas nenhum navegador o reconheceria.