Если запросы, для которых нужен более слабый сертификат, идут с одного IP или диапазона, то на худой конец можно извернуться - поднять сервер на двух разных портах и подменять в пакетах с другого IP порт, средствами iptables, к примеру. Это в том случае, если другой сервис требует тот же домен:порт, а так-то, если не требует, можно действительно либо поддомен другой, либо порт, и извращаться не придётся.
