RFC 2818 em "3.1. Identidade do Servidor" afirma que
Names may contain the wildcard character
*which is considered to match any single domain name component or component fragment. E.g.,*.a.commatchesfoo.a.combut notbar.foo.a.com.
Então, sim, é o fato de que são dois níveis de subdomínios que é o problema.