IP Address SSL Certificates

IP पते के लिए SSL certificate एक publicly-trusted X.509 TLS certificate है जो domain name के बजाय किसी public IPv4 या IPv6 पते को जारी किया जाता है। ब्राउज़रों को कनेक्शन पर भरोसा करने के लिए, IP को Subject Alternative Name (SAN) फ़ील्ड में iPAddress एंट्री के रूप में दिखना चाहिए: यह वह X.509 फ़ील्ड है जिसे CAs और ब्राउज़र TLS handshake के दौरान जाँचते हैं। Cloudflare का resolver https://1.1.1.1 पर इसका एक परिचित उदाहरण है।

IP पर HTTPS उसी तरह काम करता है जैसे domain पर HTTPS। कोई protocol अंतर नहीं है, कोई कमज़ोर handshake नहीं है, encryption strength में कोई समझौता नहीं है। एक IP certificate उसी TLS 1.2 और TLS 1.3 protocols और उसी encryption (2048-bit या उससे मज़बूत RSA keys के साथ AES-256, या समकक्ष ECC) का उपयोग करता है जैसा उसी validation level पर एक domain certificate करता है।

केवल public IPs को publicly-trusted SSL certificate से सुरक्षित किया जा सकता है। नवंबर 2015 से, CA/Browser Forum Baseline Requirements ने public CAs को private IP ranges या केवल internal hostnames के लिए certificates जारी करने से प्रतिबंधित कर दिया है। उदाहरणों में 10.0.0.0/8 range, 172.16.0.0-172.31.255.255, 192.168.0.0/16, और .local, .internal, या .corp में समाप्त होने वाले naming conventions शामिल हैं। ये वैश्विक रूप से अद्वितीय नहीं हैं, इसलिए इनके लिए जारी किया गया certificate उसी पते का उपयोग करने वाले किसी अन्य नेटवर्क पर impersonate किया जा सकता है।

किसी private या internal IP के लिए, testing के लिए self-signed certificate काम करता है, और Sectigo Private PKI production-grade विकल्प है: एक private CA जिसका root आप अपने स्वयं के devices पर install करते हैं।

IP certificate किसी भी ऐसे setup के लिए उपयुक्त है जहाँ सेवा DNS के बजाय IP द्वारा पहुँची जाती है। सामान्य मामलों में शामिल हैं:

• Mail servers और SMTP/IMAP gateways जो IP द्वारा admin या relay endpoints को expose करते हैं, जहाँ domain routing model के अनुकूल नहीं होता।
• IoT devices, NAS appliances, routers, और firewalls जिनमें public-facing admin interfaces हैं: device का एक IP है लेकिन कोई DNS record नहीं है।
• Cloud back-end services और APIs जो partner integrations या internal automation के लिए IP द्वारा expose किए जाते हैं।
• Load balancers और reverse proxies जो कई internal services के सामने dedicated IPs पर चलते हैं।
• Legacy applications और पुराने clients जो Server Name Indication (SNI) को support नहीं करते और TLS negotiate करने के लिए IP certificate की आवश्यकता होती है।

हर publicly-trusted TLS certificate, IP certs सहित, CA/Browser Forum Ballot SC-081v3 के अंतर्गत आता है, जो अप्रैल 2025 में पारित हुआ और चरणबद्ध schedule पर लागू हो रहा है। अधिकतम वैधता 15 मार्च 2026 को 200 दिन, फिर 15 मार्च 2027 को 100 दिन, और 15 मार्च 2029 को 47 दिन तक घट जाएगी।

कम संख्या में certificates चलाने वाले IP cert खरीदारों के लिए, इस बदलाव का अर्थ है अधिक बार नवीनीकरण; बड़े deployments के लिए, ACME automation वैकल्पिक से कम और baseline infrastructure की तरह अधिक लगने लगती है।