Certificate SSL Wildcard Multi-Domain

Un certificat SSL wildcard multi-domeniu combină două produse într-unul singur: un certificat multi-domeniu (SAN) și un certificat wildcard. În loc să le cumpărați separat sau să gestionați mai multe certificate în infrastructura dvs., acoperiți mai multe domenii distincte și subdomeniile fiecăruia dintr-un singur certificat emis.

Mecanica se bazează pe câmpul SAN. SAN, sau Subject Alternative Name, este o extensie X.509 care listează fiecare domeniu acoperit de un singur certificat. În cadrul acestui câmp, intrările pot fi nume de domenii obișnuite, intrări wildcard sau o combinație a ambelor.

O configurație tipică arată astfel:

• example.com
• *.example.com
• *.brand.net

Acel certificat unic securizează acum domeniul bare example.com, fiecare subdomeniu de primul nivel de sub acesta (shop.example.com, blog.example.com și altele), precum și fiecare subdomeniu de primul nivel de sub brand.net.

Majoritatea produselor din această categorie suportă până la 250 de SAN-uri în total, deși unele branduri limitează implicit la un număr mai mic, iar altele permit mai mult. Rețineți că caracterul wildcard * acoperă exact un nivel de subdomeniu.

Alegerea între cele trei depinde de structura domeniilor dvs.:

• Gestionați un singur site cu multe subdomenii? Un certificat wildcard rezolvă situația.
• Aveți mai multe site-uri separate fără o structură de subdomenii de care să vă preocupați? Un certificat multi-domain (SAN) este mai ieftin și mai simplu.
• Odată ce aveți mai multe site-uri și subdomenii sub fiecare, certificatul wildcard multi-domeniu este singurul produs care acoperă ambele tipare într-un singur certificat – de aceea ajung aici cumpărătorii cu portofolii de branduri sau domenii de clienți găzduite.

Certificatele wildcard multi-domeniu sunt emise la două niveluri de validare: Domain Validation și Organization Validation. Fiecare verifică ceva diferit despre solicitant înainte ca certificatul să fie emis.

• DV verifică doar că solicitantul controlează domeniile listate.
  Validarea se realizează prin una dintre cele trei metode (e-mail, înregistrare DNS sau verificare fișier HTTP), iar certificatele sunt emise în câteva minute. Site-urile personale și mediile de dezvoltare/testare se încadrează aici, alături de instrumentele interne și platformele SaaS unde viteza contează mai mult decât identitatea organizației afișate.
• OV verifică compania solicitantă prin înregistrări oficiale:
  Înregistrarea comercială, adresa înregistrată și un apel de confirmare la un număr de telefon verificat. Emiterea durează 1-2 zile lucrătoare. Numele companiei verificate apare în detaliile certificatului, unde cumpărătorii și echipele de securitate (și responsabilii cu achizițiile, în tranzacții mai mari) îl pot vedea. Site-urile de e-commerce, industriile reglementate și orice proprietate unde afirmația de identitate a certificatului are valoare comercială beneficiază de verificarea OV.

Extended Validation nu este oferit pentru niciun produs wildcard multi-domeniu, nicăieri.

Cerințele de bază ale CA/Browser Forum interzic intrările SAN wildcard pe certificatele EV, iar regula se aplică oricărui certificat care include chiar și o singură intrare wildcard. Aceasta a fost situația încă de la prima definire a EV și nu s-a schimbat. Paginile care susțin că există un „EV multi-domain wildcard” sunt greșite. Dacă aveți nevoie de EV pentru un anumit domeniu, achiziționați-l ca un certificat EV separat pentru un singur domeniu, alături de certificatul dvs. wildcard multi-domeniu.

Un ultim aspect care merită menționat direct: puterea de criptare este identică pentru DV, OV și EV. Toate trei negociază aceeași criptare simetrică de 256 de biți în timpul handshake-ului TLS. Nivelul de validare schimbă ceea ce CA verifică despre solicitant, nu ceea ce este criptat în tranzit.

Pe 11 aprilie 2025, CA/Browser Forum a aprobat Ballot SC-081v3, un calendar etapizat care reduce durata maximă de viață a fiecărui certificat TLS public la 47 de zile. Calendarul are trei faze:

• Faza 1 – în vigoare din 15 martie 2026: valabilitatea maximă a certificatelor TLS publice este acum de 200 de zile.
• Faza 2 – 15 martie 2027: limita scade la 100 de zile.
• Faza 3 – 15 martie 2029: limita scade la 47 de zile.

Regula se aplică tuturor certificatelor TLS publice, indiferent de nivelul de validare (DV, OV, EV) și de tipul produsului: wildcard, multi-domeniu și wildcard multi-domeniu incluse.

Cumpărătorii de certificate wildcard multi-domeniu resimt schimbarea mai puternic decât cei cu un singur certificat. O reînnoire aici este mai complexă, deoarece trebuie să re-dovediți controlul asupra fiecărui domeniu din lista SAN, nu doar al unuia. Pe măsură ce plafonul de valabilitate scade, acest cost operațional se amplifică. Până în 2029, va trebui să rulați acel ciclu de reînnoire aproximativ la fiecare 6-7 săptămâni. Oricine planifică operațiuni pe mai mulți ani pentru un portofoliu de domenii ar trebui să se gândească la automatizare acum, nu în 2029.

Dacă sunteți pregătit să automatizați, începeți cu pagina noastră ACME. O precizare sinceră: nu fiecare produs wildcard multi-domeniu de pe piață este la fel de prietenos cu automatizarea. Produsele DV cu verificări simple ale controlului domeniului se automatizează fără probleme; produsele OV care necesită cicluri de re-validare a organizației adaugă o complexitate pe care ACME singur nu o va elimina.

SSL Dragon oferă certificate EV de la patru autorități de certificare.

• Portofolii corporative cu mai multe branduri
  O companie care deține mai multe domenii de brand plus subdomenii sub fiecare (brandA.com, *.brandA.com, brandB.net, *.brandB.net) poate înlocui patru sau mai multe achiziții separate de certificate cu un singur certificat emis.
• Platforme SaaS cu subdomenii pentru clienți
  Când fiecare client primește un subdomeniu personalizat, precum customer1.app.com și customer2.app.com, acoperirea wildcard pe domeniul aplicației gestionează un număr nelimitat de clienți. Sloturile SAN rămase acoperă site-ul de marketing, pagina de status și API-ul pe domenii diferite.
• Furnizori de hosting și agenții
  Gestionarea domeniilor clienților pe mai multe branduri, toate servite dintr-o infrastructură partajată, se potrivește perfect acestui produs. Un singur certificat, un singur ciclu de reînnoire, o singură cheie privată de rotit.
• Medii Microsoft Exchange și de comunicații
  Certificatele wildcard multi-domeniu funcționează ca Unified Communications Certificates (UCC), ceea ce Exchange necesită atunci când are nevoie ca mai multe nume de gazdă de servicii – autodiscover, mail, webmail și altele – să fie reprezentate pe același certificat.

1. Toate domeniile listate sunt publice în certificat. Oricine face clic pe lacăt și inspectează detaliile certificatului poate citi fiecare domeniu din lista SAN. Dacă nu doriți ca două dintre brandurile dvs. să fie asociate public unul cu celălalt, folosiți certificate separate.
2. Un SAN wildcard nu acoperă automat domeniul bare. O intrare SAN de tipul *.example.com acoperă mail.example.com și shop.example.com, dar nu acoperă example.com în sine. Adăugați domeniul bare ca SAN separat dacă aveți nevoie de el.
3. Wildcardurile standard acoperă un singur nivel de subdomeniu. *.example.com acoperă mail.example.com, dar nu dev.mail.example.com. Pentru a securiza niveluri mai adânci, adăugați wildcarul mai adânc ca intrare SAN separată, de exemplu *.mail.example.com.
4. Reemisiile sunt gratuite, dar data de expirare se păstrează. Adăugarea sau eliminarea unui SAN în mijlocul ciclului nu resetează cronometrul; noul certificat moștenește data de expirare originală. Pentru produsele DV, nu este necesară re-validarea pentru a modifica SAN-urile; pentru produsele OV, validarea organizației existente poate fi de obicei reutilizată dacă modificarea are loc în fereastra de valabilitate.