Можно ли как то подписывать исх почту wildcard сертификатом?
Нет ли варианта какого-то по типу wild-card?
Нет.
По трем причинам.
1. Сертификат для домена может оказаться без нужного EKU (Extended Key Usage). Для удостоверения сервера обычно используется EKU TLS Web Server Authentication, а для подписи/шифрования почты нужен EKU E-Mail Protection - а вовсе не факт, что CA его пропишет в сертификате, скорее всего нифига.
2. Клиент электронной почты не сможет использовать сертификат, в котором emailAddress в поле Subject не совпадает с тем мылом, на которое пытаетесь настроить - он его тупо не будет признавать (Outlook не будет находить, будет делать ерунду, TB будет игнорировать)
3. Коммерческие CA тоже прекрксно знают о том, что для защиты почты нужен каждому персональный сертификат и именно поэтому продают их поштучно :) Хотя у GlobalSign например есть услуга корпоративного PKI - тебе дают типо промежуточного CA, корневой у которого - GlobalSign и в пределах некоторой емкости ты выпускаешь сертификаты. За деньги, ессно.
Можно. Это называется s/mime для писем. 
Те кто не понимает формат s/mime просто будут получать дополнительный файл.
https://sectigo.com/enterprise/sectigo-certificate...
и да, s/mime лучше делать для каждого отдельный.
Платить за дополнительные сертификаты не надо (хотя у кого как)