Kdaj izbrati wildcard SSL certifikat?

Wildcard SSL certifikat je namenjen spletnim okoljem, kjer pod eno glavno domeno uporabljamo več poddomen. Namesto ločenega certifikata za vsak naslov lahko z enim certifikatom zaščitimo več imen na isti ravni, na primer trgovina.domena.si, podpora.domena.si in portal.domena.si.

Takšna rešitev je zanimiva predvsem za večje spletne sisteme, ponudnike storitev in podjetja, ki postopoma dodajajo nove poddomene. Pri izbiri pa ni dovolj samo prešteti obstoječih spletnih naslovov, saj wildcard certifikat ne pokriva vseh možnih različic domene. Pomembno je razumeti, katera imena vključuje, kako je nameščen na strežnikih in kakšne posledice ima skupna uporaba zasebnega ključa.

Kaj wildcard certifikat pokriva?

Pri zapisu *.domena.si zvezdica nadomesti eno ime neposredno pred glavno domeno. Certifikat zato velja za naslove, kot so www.domena.si, trgovina.domena.si ali mail.domena.si. Ne velja pa samodejno za samo domena.si, razen če je to ime posebej vključeno v certifikat.

Prav tako ne pokrije naslova podpora.trgovina.domena.si, ker gre že za dodatno raven poddomene. To pravilo je pomembno že med načrtovanjem spletne infrastrukture, saj napačna predstava o obsegu zaščite hitro povzroči opozorilo v brskalniku. Če imamo več nivojev poddomen, en wildcard zapis ne bo dovolj za celotno strukturo.

Več poddomen ene domene

Wildcard SSL certifikat je posebej smiseln, ko imamo pod isto domeno več samostojnih storitev. Podjetje lahko uporablja ločene poddomene za spletno trgovino, podporo uporabnikom, administracijo, dokumentacijo in interne sisteme. Namesto upravljanja več posameznih certifikatov imamo enega, ki velja za vse prve ravni poddomen ter tudi za nove poddomene, ustvarjene pozneje.

Prednost se še bolj pokaže v okoljih, kjer poddomene nastajajo sproti. Spletna platforma lahko na primer vsakemu projektu ali uporabniku ustvari svoj naslov znotraj iste glavne domene. V tem primeru nam ni treba ob vsakem novem naslovu naročati novega certifikata, saj obstoječi wildcard SSL že pokriva ustrezno raven.

Enostavnejše upravljanje certifikatov

Večje število posameznih SSL certifikatov pomeni tudi več datumov veljavnosti, obnovitev in konfiguracij, na katere moramo paziti. Wildcard rešitev združi več poddomen pod en certifikat, zato je spremljanje njegove veljavnosti preprostejše. Ko certifikat obnovimo, lahko z isto posodobitvijo uredimo zaščito vseh naslovov, za katere se uporablja, namesto da bi postopek ponavljali za vsako poddomeno posebej.

Ta prednost pride najbolj do izraza, če imamo dobro urejen sistem nameščanja in obnavljanja certifikatov. Sam wildcard certifikat namreč še ne pomeni, da bo posodobljena različica samodejno nameščena na vseh strežnikih. Če iste poddomene delujejo na različnih napravah ali strežniških okoljih, moramo poskrbeti za pravilno razdeljevanje certifikata in njegovega zasebnega ključa.

Omejitve wildcard SSL certifikata

Enoten SSL certifikat za veliko poddomen ima tudi varnostno slabost, kadar isti zasebni ključ uporabljamo na več strežnikih. Če nekdo pridobi ta ključ na eni napravi, je tveganje širše kot pri okolju, kjer ima vsak strežnik svoj certifikat in lasten zasebni ključ. Distribucija istega ključa med več napravami povečuje varnostno izpostavljenost infrastrukture.

Pri zelo ločenih sistemih zato praktičnost ni vedno najpomembnejši argument. Če imamo poddomene za javno stran, administracijo, interne storitve in druge občutljive sisteme, je smiselno razmisliti o ločenih SSL certifikatih. S tem omejimo posledice morebitnega razkritja posameznega zasebnega ključa ter lažje določimo, kateri strežnik dejansko potrebuje dostop do posameznega certifikata.

Kdaj izbrati drugo možnost?

Wildcard certifikat ni najboljša izbira za manjšo spletno stran z eno glavno domeno in eno poddomeno. V takem primeru je običajen SSL certifikat preprostejši, še posebej kadar ponudnik gostovanja samodejno ureja njegovo izdajo in obnovo. Ločeni certifikati so smiselni tudi takrat, ko različne poddomene upravljajo različne ekipe ali delujejo na povsem ločenih strežnikih.

Druga rešitev je potrebna tudi, če želimo z enim certifikatom zaščititi več nepovezanih domen, saj wildcard zapis velja samo za poddomene izbranega domenskega imena. Za tak namen se uporabljajo certifikati z več navedenimi domenskimi imeni (multi-domain SSL) ali več samostojnih certifikatov. Pred izbiro zato najprej pregledamo strukturo domen, število strežnikov in način upravljanja, da praktičnost enega wildcard SSL certifikata ne povzroči nepotrebnih omejitev.