Wildcard SSL: все поддомены, один сертификат

Да, у брендов из нашей линейки сертификат включает и *.example.com, и сам example.com, поэтому основной домен защищён без дополнительных записей и без второго сертификата. На практике это значит, что посетитель, набравший example.com без www и без другого поддомена, получает действительное HTTPS-соединение от того же сертификата, который закрывает www, mail или shop. Настраивать для этого ничего не нужно: запись для основного домена входит в сам выпущенный сертификат, и после выпуска вы можете убедиться в этом, открыв его детали в браузере. Если хотите проверить покрытие конкретного бренда до заказа, напишите в поддержку, и мы уточним его для вас.

На стольких, на скольких нужно. Устанавливайте сертификат и закрытый ключ на каждый веб-, почтовый или API-сервер, обслуживающий поддомен: лицензия не ограничивает число серверов, и доплат за дополнительные установки нет. Это особенно удобно, когда один домен распределён по нескольким машинам, например сайт работает на одном сервере, а почта на другом: все они могут использовать один и тот же wildcard. Держите закрытый ключ под защитой на каждой машине и помните, что при продлении сертификата заменить придётся каждую копию. Поэтому стоит вести простой список мест, где сертификат установлен, чтобы ни одна копия не осталась просроченной.

Нет, звёздочка в *.example.com покрывает ровно один уровень. Это значит, что shop.example.com и api.example.com защищены, а a.b.example.com уже нет, потому что этот адрес находится на уровень глубже. Для такого имени понадобится отдельный wildcard на *.b.example.com или мульти-доменный сертификат, где нужный хост добавлен как запись SAN. Поэтому структуру имён лучше продумать заранее: если все сервисы живут прямо под основным доменом, достаточно одного wildcard, а глубокая вложенность означает несколько сертификатов и больше администрирования. Если сомневаетесь, какой вариант подходит вашей структуре, напишите в поддержку и перечислите имена хостов, которые планируете использовать.

Нет, EV wildcard не выпускает ни один центр сертификации: правила CA/B Forum не позволяют сочетать расширенную валидацию со звёздочкой в имени. Самой строгой валидацией для wildcard остаётся OV, например GeoTrust TrueBusinessID или DigiCert Wildcard SSL, где центр сертификации проверяет компанию, стоящую за доменом, и указывает её в сертификате. Большинству сайтов этого достаточно: шифрование одинаково на всех уровнях валидации, разница лишь в том, насколько тщательно проверяется владелец. Если внутренние требования вашей организации допускают только EV, такой сертификат можно оформить лишь на точно перечисленные имена хостов, без звёздочки.

Выбирайте wildcard, когда всё работает под одним доменом: он покрывает неограниченное число поддоменов example.com, включая те, что появятся позже. SAN, то есть мульти-доменный сертификат, нужен, когда один сертификат делят несколько разных доменов, например у компании отдельные сайты на разных именах. Подходы можно совместить: в мульти-доменный сертификат допускается включать wildcard-записи SAN, и тогда один сертификат закрывает несколько доменов вместе со всеми их поддоменами. Практичный способ выбрать: выпишите все имена хостов, которые обслуживаете сейчас и планируете добавить. Если список растёт в пределах одного домена, выгоднее wildcard; если сомневаетесь, пришлите список в поддержку, и мы подскажем подходящий вариант.

В CloudHosting wildcard SSL начинается от 80.38 EUR в год за Sectigo PositiveSSL Wildcard, DV-сертификат, которого хватает большинству сайтов. RapidSSL стоит дороже, а OV-бренды GeoTrust и DigiCert обходятся ещё дороже, потому что центр сертификации дополнительно проверяет компанию, стоящую за доменом. Все цены указаны без НДС; латвийский НДС 21% добавляется там, где он применим. На странице указана полная стоимость за выбранный срок, и чем длиннее срок, тем ниже средняя цена за год. Бренды различаются глубиной проверки и размером гарантии, поэтому переплата оправдана тогда, когда вашим клиентам важно видеть в сертификате проверенное название компании, а не только домен.

DV wildcard, например PositiveSSL или RapidSSL, выпускается за считаные минуты после завершения валидации домена: на весь домен достаточно одной проверки через DNS-запись или письмо на адрес в этом домене. Основное время обычно уходит на вашей стороне, например на ожидание, пока обновится DNS-запись. У OV-брендов, таких как GeoTrust TrueBusinessID и DigiCert, центр сертификации дополнительно проверяет саму компанию, и этот шаг нельзя полностью автоматизировать, поэтому выпуск занимает заметно больше времени. Если сертификат нужен к конкретной дате, заказывайте OV заранее. Если валидация застряла, напишите в поддержку: поможем и с CSR, и с шагами проверки.

Это SSL-сертификат, у которого в поле common name стоит звёздочка, например *.example.com. Звёздочка заменяет имя поддомена, поэтому один сертификат защищает все прямые поддомены домена: www, mail, shop, api и любые другие. Главное преимущество проявляется по мере роста сайта: поддомен, созданный позже, покрывается автоматически, как только DNS начинает резолвиться, без перевыпуска и нового заказа. При заказе CSR генерируется с именем со звёздочкой, а выпущенный комплект вы используете во всех своих сервисах. Так исчезает ситуация, когда у каждого поддомена свой сертификат со своим сроком действия: следить нужно только за одной датой продления.