Мультидоменные Wildcard SSL-сертификаты

Мультидоменный wildcard SSL-сертификат объединяет два продукта в одном: мультидоменный (SAN) сертификат и wildcard-сертификат. Вместо того чтобы приобретать оба по отдельности или использовать несколько сертификатов в рамках инфраструктуры, вы защищаете несколько отдельных доменов и поддомены под каждым из них с помощью одного выпущенного сертификата.

Механизм работы основан на поле SAN. SAN, или Subject Alternative Name, — это расширение X.509, в котором перечислены все домены, охватываемые одним сертификатом. В этом поле записи могут быть обычными доменными именами, wildcard-записями или их комбинацией.

Типичная конфигурация выглядит следующим образом:

• example.com
• *.example.com
• *.brand.net

Один такой сертификат защищает корневой домен example.com, все поддомены первого уровня под ним (shop.example.com, blog.example.com и т. д.), а также все поддомены первого уровня под brand.net.

Большинство продуктов в этой категории поддерживают до 250 SAN в общей сложности, хотя некоторые бренды по умолчанию устанавливают более низкий лимит, а другие — более высокий. Обратите внимание, что символ wildcard * охватывает ровно один уровень поддоменов.

Выбор между тремя вариантами зависит от структуры ваших доменов:

• Один сайт с множеством поддоменов? С этим справится wildcard-сертификат.
• Несколько отдельных сайтов без разветвлённой структуры поддоменов? Мультидоменный (SAN) сертификат обойдётся дешевле и проще в управлении.
• Если у вас несколько сайтов и поддомены под каждым из них, мультидоменный wildcard — единственный продукт, который охватывает оба сценария в рамках одного сертификата. Именно поэтому к нему обращаются владельцы портфелей брендов или хостинг-провайдеры, управляющие доменами клиентов.

Мультидоменные wildcard-сертификаты выпускаются на двух уровнях валидации: Domain Validation и Organization Validation. Каждый из них проверяет разные сведения о заявителе перед выпуском сертификата.

• DV проверяет только то, что заявитель контролирует указанные домены.
  Валидация выполняется одним из трёх методов (по электронной почте, через DNS-запись или проверку HTTP-файла), а сертификаты выпускаются за несколько минут. Этот вариант подходит для личных сайтов, сред разработки и тестирования, а также внутренних инструментов и SaaS-платформ, где скорость важнее отображения идентификационных данных организации.
• OV проверяет запрашивающую организацию по официальным документам:
  регистрационные данные компании, юридический адрес и обратный звонок на подтверждённый номер телефона. Выпуск занимает 1-2 рабочих дня. Подтверждённое название организации отображается в деталях сертификата, где его могут увидеть покупатели, специалисты по безопасности и сотрудники отдела закупок в крупных сделках. OV-проверка особенно полезна для сайтов электронной коммерции, регулируемых отраслей и любых ресурсов, где идентификационные данные сертификата имеют коммерческую ценность.

Extended Validation не предусмотрен ни для одного мультидоменного wildcard-продукта.

Базовые требования CA/Browser Forum запрещают использование wildcard-записей SAN в EV-сертификатах, и это правило распространяется на любой сертификат, содержащий хотя бы одну wildcard-запись. Данное ограничение действует с момента появления EV и не изменилось. Страницы, утверждающие о существовании «EV мультидоменного wildcard», вводят в заблуждение. Если вам нужен EV для конкретного домена, приобретите отдельный EV-сертификат для одного домена в дополнение к мультидоменному wildcard.

Ещё один важный момент: стойкость шифрования одинакова для DV, OV и EV. Все три типа используют одно и то же 256-битное симметричное шифрование в процессе TLS-рукопожатия. Уровень валидации определяет, что именно CA проверяет у заявителя, а не то, что шифруется при передаче данных.

11 апреля 2025 года CA/Browser Forum утвердил Ballot SC-081v3 — поэтапный план, сокращающий максимальный срок действия любого публичного TLS-сертификата до 47 дней. План предусматривает три этапа:

• Этап 1 — действует с 15 марта 2026 года: максимальный срок действия публичного TLS-сертификата теперь составляет 200 дней.
• Этап 2 — 15 марта 2027 года: лимит снижается до 100 дней.
• Этап 3 — 15 марта 2029 года: лимит снижается до 47 дней.

Правило распространяется на все публичные TLS-сертификаты, все уровни валидации (DV, OV, EV) и все типы продуктов: wildcard, мультидоменные и мультидоменные wildcard включительно.

Покупатели мультидоменных wildcard-сертификатов ощутят это изменение острее, чем владельцы одиночных сертификатов. Продление здесь требует больше усилий, поскольку необходимо повторно подтвердить контроль над каждым доменом в списке SAN, а не только над одним. По мере сокращения срока действия эти операционные затраты будут возрастать. К 2029 году цикл продления придётся проходить примерно каждые 6-7 недель. Всем, кто планирует долгосрочную работу с портфелем доменов, стоит задуматься об автоматизации уже сейчас, а не в 2029 году.

Если вы готовы к автоматизации, начните с нашей страницы ACME. Важная оговорка: не все мультидоменные wildcard-продукты на рынке одинаково удобны для автоматизации. DV-продукты с простой проверкой контроля домена автоматизируются без проблем; OV-продукты, требующие повторной валидации организации, создают дополнительные сложности, которые ACME сам по себе не устранит.

SSL Dragon предлагает EV-сертификаты от четырёх удостоверяющих центров.

• Корпоративные портфели с несколькими брендами
  Компания, владеющая несколькими брендовыми доменами и поддоменами под каждым (brandA.com, *.brandA.com, brandB.net, *.brandB.net), может заменить четыре и более отдельных сертификата одним выпущенным сертификатом.
• SaaS-платформы с поддоменами для клиентов
  Когда каждый клиент получает собственный поддомен вида customer1.app.com и customer2.app.com, wildcard-покрытие домена приложения обеспечивает защиту неограниченного числа клиентов. Оставшиеся слоты SAN покрывают маркетинговый сайт, страницу статуса и API на других доменах.
• Хостинг-провайдеры и агентства
  Управление клиентскими доменами множества брендов, размещёнными на общей инфраструктуре, идеально подходит для этого продукта. Один сертификат, один цикл продления, один закрытый ключ для ротации.
• Среды Microsoft Exchange и коммуникационных сервисов
  Мультидоменные wildcard-сертификаты функционируют как Unified Communications Certificates (UCC) — именно такой формат требует Exchange, когда необходимо представить несколько служебных имён хостов (autodiscover, mail, webmail и другие) в рамках одного сертификата.

1. Все указанные домены публично отображаются в сертификате. Любой пользователь, нажавший на значок замка и просмотревший детали сертификата, увидит каждый домен в списке SAN. Если вы не хотите, чтобы два ваших бренда были публично связаны друг с другом, используйте отдельные сертификаты.
2. Wildcard-запись SAN автоматически не охватывает корневой домен. Запись SAN вида *.example.com защищает mail.example.com и shop.example.com, но не сам example.com. Добавьте корневой домен как отдельную запись SAN, если он вам нужен.
3. Стандартный wildcard охватывает только один уровень поддоменов. *.example.com защищает mail.example.com, но не dev.mail.example.com. Для защиты более глубоких уровней добавьте соответствующую wildcard-запись как отдельный SAN, например *.mail.example.com.
4. Перевыпуски бесплатны, но дата истечения срока действия не меняется. Добавление или удаление SAN в течение срока действия не сбрасывает отсчёт времени: новый сертификат наследует исходную дату истечения. Для DV-продуктов повторная валидация при изменении SAN не требуется; для OV-продуктов существующая валидация организации, как правило, может быть повторно использована, если изменение вносится в пределах срока действия.