Simplesmente: sim.
Para certificados de DV (domínio validado), o emissor somente verificará se o domínio pertence a você. No seu caso, bob.com . Isso normalmente é feito pedindo-lhe para colocar um arquivo html específico em seu servidor que o emissor tente ler ou enviando um e-mail para um endereço específico como [email protected] . A última opção é mais comum.
O emissor não verifica se é um registro CNAME ou um tipo de registro A do seu domínio.
A questão mais importante é se você é capaz de colocar seu certificado no servidor web de susan.co.uk e se ele suporta SNI para apresentar seu certificado.
Alguns emissores também permitem que você se registre em um certificado gratuito (pontualmente limitado). Talvez você tente usar um desses antes de pagar por um certificado que não pode ser usado devido a problemas técnicos no lado do servidor.