Certificati SSL Multi-Domain Wildcard

Un certificato SSL wildcard multi-dominio combina due prodotti in uno: un certificato multi-dominio (SAN) e un certificato wildcard. Invece di acquistarli separatamente o gestire piu certificati nella propria infrastruttura, e possibile proteggere diversi domini distinti e i sottodomini di ciascuno con un unico certificato emesso.

Il meccanismo si basa sul campo SAN. SAN, ovvero Subject Alternative Name, e un’estensione X.509 che elenca tutti i domini coperti da un singolo certificato. All’interno di quel campo, le voci possono essere nomi di dominio ordinari, voci wildcard o una combinazione di entrambi.

Una configurazione tipica si presenta cosi:

• example.com
• *.example.com
• *.brand.net

Quel singolo certificato protegge ora il dominio base example.com, ogni sottodominio di primo livello sotto di esso (shop.example.com, blog.example.com e cosi via) e ogni sottodominio di primo livello sotto brand.net.

La maggior parte dei prodotti in questa categoria supporta fino a 250 SAN in totale, anche se alcuni brand hanno un limite inferiore per impostazione predefinita e altri arrivano piu in alto. Si noti che il carattere wildcard * copre esattamente un livello di sottodominio.

La scelta tra i tre dipende dalla struttura dei tuoi domini:

• Gestisci un solo sito web con molti sottodomini? Un certificato wildcard e sufficiente.
• Hai diversi siti web separati senza una struttura di sottodomini di cui preoccuparti? Un certificato multi-domain (SAN) e piu economico e semplice.
• Quando hai diversi siti web e sottodomini sotto ciascuno, il multi-domain wildcard e l’unico prodotto che copre entrambi i casi con un unico certificato, ed e per questo che chi gestisce portfolio di brand o domini di clienti in hosting finisce per sceglierlo.

I certificati wildcard multi-dominio vengono emessi a due livelli di validazione: Domain Validation e Organization Validation. Ciascuno verifica qualcosa di diverso sul richiedente prima che il certificato venga emesso.

• DV verifica solo che il richiedente controlli i domini elencati.
  La validazione avviene tramite uno dei tre metodi (email, record DNS o verifica file HTTP) e i certificati vengono emessi in pochi minuti. I siti personali e gli ambienti di sviluppo/test rientrano in questa categoria, insieme agli strumenti interni e alle piattaforme SaaS dove la velocita conta piu dell’identita dell’organizzazione visualizzata.
• OV verifica l’azienda richiedente attraverso i registri ufficiali:
  Registrazione aziendale, indirizzo registrato e una richiamata a un numero di telefono verificato. L’emissione richiede 1-2 giorni lavorativi. Il nome dell’azienda verificata appare nei dettagli del certificato, dove acquirenti e team di sicurezza (e i responsabili degli acquisti, nelle trattative piu grandi) possono vederlo. I siti di e-commerce, i settori regolamentati e qualsiasi proprieta in cui la dichiarazione di identita del certificato ha valore commerciale traggono vantaggio dalla verifica OV.

Extended Validation non e disponibile per nessun prodotto wildcard multi-dominio, in nessun caso.

I Baseline Requirements del CA/Browser Forum vietano le voci SAN wildcard sui certificati EV, e la regola si applica a qualsiasi certificato che includa anche una sola voce wildcard. Questa disposizione e in vigore sin dalla prima definizione dell’EV e non e mai cambiata. Le pagine che affermano l’esistenza di un “EV multi-domain wildcard” sono errate. Se hai bisogno di EV per un dominio specifico, acquistalo come certificato EV a dominio singolo separato, insieme al tuo certificato wildcard multi-dominio.

Un ultimo punto che vale la pena sottolineare direttamente: la forza della crittografia e identica tra DV, OV ed EV. Tutti e tre negoziano la stessa crittografia simmetrica a 256 bit durante l’handshake TLS. Il livello di validazione cambia cio che la CA verifica sul richiedente, non cio che viene cifrato sul canale.

L’11 aprile 2025, il CA/Browser Forum ha approvato il Ballot SC-081v3, un calendario graduale che riduce la durata massima di ogni certificato TLS pubblico a 47 giorni. Il calendario prevede tre fasi:

• Fase 1 – gia in vigore dal 15 marzo 2026: la validita massima dei certificati TLS pubblici e ora di 200 giorni.
• Fase 2 – 15 marzo 2027: il limite scende a 100 giorni.
• Fase 3 – 15 marzo 2029: il limite scende a 47 giorni.

La regola si applica a tutti i certificati TLS pubblici, a ogni livello di validazione (DV, OV, EV) e a ogni tipo di prodotto: wildcard, multi-dominio e multi-domain wildcard inclusi.

Gli acquirenti di certificati wildcard multi-dominio risentono del cambiamento piu di chi gestisce un singolo certificato. Un rinnovo in questo caso e piu oneroso perche occorre dimostrare nuovamente il controllo di ciascun dominio nell’elenco SAN, non solo di uno. Man mano che il limite di validita si abbassa, quel costo operativo si moltiplica. Entro il 2029, si dovra eseguire quel ciclo di rinnovo circa ogni 6-7 settimane. Chiunque stia pianificando operazioni pluriennali su un portfolio di domini dovrebbe pensare all’automazione adesso, non nel 2029.

Se sei pronto ad automatizzare, inizia dalla nostra pagina ACME. Una precisazione onesta: non tutti i prodotti wildcard multi-dominio sul mercato sono ugualmente adatti all’automazione. I prodotti DV con semplici verifiche del controllo del dominio si automatizzano senza problemi; i prodotti OV che richiedono cicli di ri-validazione dell’organizzazione aggiungono una complessita che ACME da solo non risolve.

SSL Dragon offre certificati EV di quattro Certificate Authority.

• Portfolio aziendali multi-brand
  Un’azienda che possiede diversi domini di brand piu sottodomini sotto ciascuno (brandA.com, *.brandA.com, brandB.net, *.brandB.net) puo sostituire quattro o piu acquisti di certificati separati con un unico certificato emesso.
• Piattaforme SaaS con sottodomini per tenant
  Quando ogni cliente riceve un sottodominio personalizzato come customer1.app.com e customer2.app.com, la copertura wildcard sul dominio dell’app gestisce un numero illimitato di tenant. I restanti slot SAN coprono il sito di marketing, la pagina di stato e le API su domini diversi.
• Provider di hosting e agenzie
  La gestione dei domini dei clienti su molti brand, tutti serviti da un’infrastruttura condivisa, si adatta perfettamente a questo prodotto. Un certificato, un ciclo di rinnovo, una chiave privata da ruotare.
• Ambienti Microsoft Exchange e di comunicazione
  I certificati wildcard multi-dominio funzionano come Unified Communications Certificates (UCC), che e cio che Exchange richiede quando ha bisogno che piu hostname di servizio – autodiscover, mail, webmail e altri – siano rappresentati sullo stesso certificato.

1. Tutti i domini elencati sono pubblici nel certificato. Chiunque faccia clic sul lucchetto e ispezioni i dettagli del certificato puo leggere ogni dominio nell’elenco SAN. Se non vuoi che due dei tuoi brand siano pubblicamente associati tra loro, utilizza certificati separati.
2. Una voce SAN wildcard non copre automaticamente il dominio base. Una voce SAN *.example.com copre mail.example.com e shop.example.com, ma non copre example.com stesso. Aggiungi il dominio base come voce SAN separata se ne hai bisogno.
3. I wildcard standard coprono un solo livello di sottodominio. *.example.com copre mail.example.com ma non dev.mail.example.com. Per proteggere livelli piu profondi, aggiungi il wildcard piu profondo come voce SAN separata, ad esempio *.mail.example.com.
4. I reissue sono gratuiti, ma la data di scadenza rimane invariata. Aggiungere o rimuovere un SAN a meta ciclo non azzera il contatore; il nuovo certificato eredita la data di scadenza originale. Per i prodotti DV, non e richiesta una nuova validazione per modificare i SAN; per i prodotti OV, la validazione dell’organizzazione esistente puo generalmente essere riutilizzata se la modifica avviene entro la finestra di validita.