SSL/TLS-сертификаты Single-domain и Wildcard используются для защиты сайтов и веб-сервисов при помощи HTTPS. Выбор между Single-domain и Wildcard зависит от количества доменов и поддоменов, для которых обеспечивается шифрование. Ниже рассмотрим, чем отличаются Single-domain и Wildcard-сертификаты, и в каких случаях можно использовать те или иные из них.
Сертификаты Single-domain
Сертификаты Single-domain предназначены для использования одного доменного имени. К примеру, сертификат, выпущенный для your-domain-name.ruwww.your-domain-name.ru и другие поддомены, если они не включены в сертификат отдельно.
Такого типа сертификаты могут применяться для сайта компании, интернет-магазина или какого-либо ещё сервиса. Если веб-ресурс доступен по одному доменному имени, отдельного сертификата достаточно для его защиты. Если имён необходимо несколько, то для каждого из них, например, api.your-domain-name.ru, mail.your-domain-name.ru или vpn.your-domain-name.ru, можно выпустить собственный сертификат. То есть для каждого из веб-ресурсов потребуется настроить выпуск, продление и установку сертификата независимо от остальных.
К сожалению, дополнительные доменные имена при выпуске сертификата Single-domain не предусмотрены. Если нужно защитить основной домен и его поддомены первого уровня, то следует выбирать Wildcard-сертификат.
Wildcard-сертификаты
Wildcard-сертификат предназначен для защиты домена и его поддоменов первого уровня. В имени сертификата поддомены обозначаются символом *. Например, сертификат, выпущенный для *.your-domain-name.ru, будет работать и в отношении основного домена, а также для www.your-domain-name.ru, api.your-domain-name.ru и mail.your-domain-name.ru, но не будет для dev.api.your-domain-name.ru.
В качестве основного сценария применения Wildcard-сертификата можно, во-первых, рассматривать использование множества поддоменов. Такой подход удобен для проектов, где отдельные поддомены предназначены для доступа к сайту, API, личному кабинету и другим сервисам.
Кроме того, Wildcard-сертификаты применяются в проектах с динамически создаваемыми ресурсами. Например, их можно применить на SaaS-платформах, тестовых стендах и клиентских окружениях, где поддомены должны создаваться автоматически.
Поскольку Wildcard-сертификат позволяет защищать несколько поддоменов, то тем самым сокращается количество операций по выпуску и продлению. Wildcard-сертификат упрощает управление, но требует более внимательного обращения с закрытым ключом. Дело в том, что его компрометация может поставить под угрозу все сервисы, использующие этот сертификат.
Также следует учитывать тот факт, что при использовании ACME для автоматического выпуска Wildcard-сертификатов требуется верификация домена через DNS-запись, что связано прежде всего с тем, что протокол ACME не позволяет подтвердить право на выпуск Wildcard-сертификата с помощью обычной HTTP-проверки.
Вывод
Подытоживая, можно заключить, что сертификат Single-domain может использоваться для отдельного сайта или веб-сервиса. В то время как Wildcard можно применить для инфраструктуры с несколькими поддоменами. При этом для Wildcard-сертификатов используется проверка домена через DNS-запись. Подтверждение контроля над DNS-зоной домена не требует наличия веб-сервера и позволяет выпустить сертификат для поддоменов без отдельной проверки каждого из них.
