Wildcard SSL: все поддомены, один сертификат

Wildcard SSL-сертификат CloudHosting содержит в имени звёздочку, например *.example.com, поэтому один сертификат защищает все прямые поддомены домена: www, mail, shop, api и любые другие. Главное преимущество проявляется по мере роста сайта: поддомен, созданный позже, покрывается автоматически, как только DNS начинает резолвиться, без перевыпуска и нового заказа. При заказе CSR генерируется с именем со звёздочкой, а выпущенный комплект вы используете во всех своих сервисах. Так исчезает ситуация, когда у каждого поддомена свой сертификат со своим сроком действия: следить нужно только за одной датой продления.

В CloudHosting wildcard SSL начинается от 83.04 EUR в год без НДС за Sectigo PositiveSSL Wildcard, DV-сертификат, которого хватает большинству сайтов; это средняя цена за год на самом длинном сроке, короткие сроки в пересчёте на год дороже. DV wildcard от RapidSSL, GeoTrust и Thawte стоят больше, а OV-бренды GeoTrust TrueBusinessID и DigiCert обходятся ещё дороже, потому что центр сертификации дополнительно проверяет компанию, стоящую за доменом. Латвийский НДС 21% добавляется там, где он применим. В каталоге указана полная стоимость за выбранный срок, которая оплачивается один раз. Переплата оправдана тогда, когда вашим клиентам важно видеть в сертификате проверенное название компании, а не только домен.

У всех брендов, которые продаёт CloudHosting, wildcard-сертификат включает и *.example.com, и сам example.com, поэтому основной домен защищён без дополнительных записей и без второго сертификата. На практике это значит, что посетитель, набравший example.com без www и без другого поддомена, получает действительное HTTPS-соединение от того же сертификата, который закрывает www, mail или shop. Настраивать для этого ничего не нужно: запись для основного домена входит в сам выпущенный сертификат, и после выпуска вы можете убедиться в этом, открыв его детали в браузере. Это относится к каждому wildcard-сертификату в нашем каталоге: Sectigo, RapidSSL, GeoTrust, Thawte и DigiCert.

Wildcard-сертификат CloudHosting, как и любой wildcard, покрывает ровно один уровень: shop.example.com и api.example.com защищены, а a.b.example.com уже нет, потому что этот адрес находится на уровень глубже. Для такого имени понадобится отдельный wildcard на *.b.example.com или мультидоменный сертификат, где нужный хост добавлен как запись SAN. Поэтому структуру имён лучше продумать заранее: если все сервисы живут прямо под основным доменом, достаточно одного wildcard, а глубокая вложенность означает несколько сертификатов и больше администрирования. Если сомневаетесь, какой вариант подходит вашей структуре, напишите в поддержку и перечислите имена хостов, которые планируете использовать.

CloudHosting не ограничивает число серверов: один и тот же wildcard-сертификат и закрытый ключ можно установить на каждый веб-, почтовый или API-сервер, обслуживающий поддомен, без доплаты за сервер. Это особенно удобно, когда один домен распределён по нескольким машинам, например сайт работает на одном сервере, а почта на другом: все они могут использовать один и тот же wildcard. Держите закрытый ключ под защитой на каждой машине и помните, что после перевыпуска заменить придётся каждую копию, поэтому ведите простой список мест, где сертификат установлен, или доверьте замену бесплатному агенту chssl на каждом Linux-сервере.

CloudHosting не продаёт EV wildcard, потому что их не выпускает ни один центр сертификации: правила CA/B Forum не позволяют сочетать расширенную валидацию со звёздочкой в имени. Самой строгой валидацией для wildcard остаётся OV, например GeoTrust TrueBusinessID Wildcard или DigiCert Wildcard SSL, где центр сертификации проверяет компанию, стоящую за доменом, и указывает её в сертификате. Большинству сайтов этого достаточно: шифрование одинаково на всех уровнях валидации, разница лишь в том, насколько тщательно проверяется владелец. Если внутренние требования вашей организации допускают только EV, такой сертификат можно оформить лишь на точно перечисленные имена хостов, без звёздочки.

DV wildcard в CloudHosting, например Sectigo PositiveSSL или RapidSSL, выпускается за считаные минуты после завершения валидации домена: на весь домен достаточно одной проверки через DNS-запись или письмо на адрес в этом домене. Основное время обычно уходит на вашей стороне, например на ожидание, пока обновится DNS-запись. У OV-брендов, таких как GeoTrust TrueBusinessID и DigiCert, центр сертификации дополнительно проверяет саму компанию, и этот шаг нельзя полностью автоматизировать, поэтому выпуск занимает заметно больше времени. Если сертификат нужен к конкретной дате, заказывайте OV заранее. Если валидация застряла, напишите в поддержку: поможем и с CSR, и с шагами проверки.

CloudHosting продаёт оба варианта, и выбор зависит от ваших имён: wildcard покрывает неограниченное число поддоменов одного домена, включая те, что появятся позже, а SAN, то есть мультидоменный сертификат, объединяет до 250 хостов на разных доменах. Выбирайте wildcard, когда всё работает под одним доменом, и SAN, когда один сертификат делят несколько разных доменов, например отдельные сайты на разных именах. Подходы можно совместить: в мультидоменный сертификат допускается включать wildcard-записи SAN, и тогда один сертификат закрывает несколько доменов вместе со всеми их поддоменами. Выпишите все имена хостов, которые обслуживаете сейчас и планируете добавить; если сомневаетесь, пришлите список в поддержку.

Сертификат CloudHosting на один домен покрывает один хост вместе с www и стоит дешевле, поэтому, если вы обслуживаете только www.example.com, платить за wildcard незачем. Как только рядом с основным сайтом появляются mail, shop, api или staging, отдельные сертификаты означают отдельные заказы, отдельные проверки и отдельные даты продления. Один wildcard от 83.04 EUR в год заменяет всё это одним сертификатом и одним продлением, а любой поддомен, добавленный позже, покрывается автоматически. Он не всегда дешевле нескольких бюджетных сертификатов, но всегда проще в администрировании, и его выгода растёт вместе с числом поддоменов.

CloudHosting оформляет любой срок wildcard от 1 до 5 лет последовательными сертификатами, потому что по правилам CA/B Forum публичный сертификат теперь действует не более 199 дней. Каждый перевыпуск в оплаченном сроке бесплатен: вы запускаете его в клиентской панели, где видно, сколько дней осталось, а затем заменяете файл на каждом сервере, где стоит wildcard. Последний шаг требует внимания, ведь один wildcard часто живёт на нескольких машинах. Наш бесплатный агент chssl для Linux-серверов с nginx, Apache или Docker сам находит сертификат на каждом сервере, устанавливает новый файл и перезагружает веб-сервер, поэтому ставьте его на каждую машину, где есть копия.