Wildcard-сертификат: один SSL на все поддомены

Wildcard-сертификат — это SSL-сертификат, выпущенный на маску вида *.site.ru. Он защищает сразу все поддомены одного уровня: shop, blog, lk и любые новые, которые появятся позже. Брать его стоит, когда поддоменов больше трёх-пяти или они создаются регулярно; для одного-двух адресов проще обычные сертификаты. Ниже разберём, что именно покрывает wildcard, чем он отличается от обычного и мультидоменного сертификата, как получить его бесплатно и на чём чаще всего ошибаются.

Зачем вообще нужен отдельный тип сертификата

Обычный SSL-сертификат защищает сам домен и, как правило, версию с www — на этом всё. Стоило появиться поддомену lk.site.ru, и браузер уже ругается на незащищённое соединение: сертификат про этот адрес ничего не знает. Посетитель видит предупреждение во весь экран — о том, как оно выглядит и откуда берётся, мы писали в статье про ошибку «Подключение не защищено».

Пока поддомен один, вопрос решается отдельным сертификатом за пять минут. Когда их пять, десять и новые добавляются каждый квартал, начинается рутина: выпустить, установить, не забыть продлить каждый. Для таких случаев придуман wildcard — от английского «подстановочный знак». Звёздочка в имени означает «любое слово на этом месте».

Что покрывает wildcard, а что нет

Wildcard-сертификат выписывается на маску *.site.ru и закрывает все поддомены первого уровня разом: shop, blog, lk, krasnodar — любые, включая те, что вы создадите завтра. Основной домен site.ru под маску формально не попадает, поэтому при выпуске его добавляют в тот же сертификат отдельной строкой. Большинство центров сертификации делают это автоматически, но проверить стоит.

Главное ограничение: маска действует на один уровень вложенности. Адрес test.lk.site.ru под *.site.ru уже не попадает — для него понадобится отдельная маска *.lk.site.ru.

Обычный, wildcard или мультидоменный: в чём разница

Wildcard часто путают с мультидоменным сертификатом — его ещё называют SAN по названию поля, в котором перечислены имена. Wildcard — про поддомены одного домена. Мультидоменный покрывает заранее заданный список разных адресов: site.ru, site.com, staryj-brend.ru — до нескольких десятков имён в одном сертификате. Для группы проектов на отдельных доменах нужен именно он.

Бывают и комбинированные варианты: в мультидоменный сертификат включают несколько масок сразу, например *.site.ru и *.site.com. Это удобно, когда у компании два домена и на каждом свои поддомены.

Когда wildcard выгоден, а когда лишний

По нашему опыту, граница проходит на трёх-пяти поддоменах. Меньше — проще выпустить отдельные сертификаты. Больше — wildcard экономит и деньги, и внимание администратора. Классические кандидаты: региональные версии сайта, кабинеты клиентов, сервисные поддомены вроде api и mail. Когда бизнесу в принципе нужны поддомены, а когда лучше обойтись разделами сайта, мы разбирали в статье про поддомены и их влияние на SEO.

У нашего клиента, сервиса доставки воды, под каждый город создаётся поддомен — сейчас их семнадцать. До перехода на wildcard администратор пару раз в год пропускал продление какого-нибудь сертификата, и очередной город встречал покупателей предупреждением во весь экран. Теперь продлевается один сертификат вместо семнадцати, и проблема исчезла как класс.

• Wildcard оправдан, если поддоменов много, они появляются регулярно или создаются автоматически — например, под каждого клиента сервиса.
• Wildcard не нужен, если у вас один сайт и, возможно, один поддомен для почты или тестовой версии. Два обычных сертификата обслуживать не сложнее.
• Wildcard не поможет, если проекты живут на разных доменах. Это задача для мультидоменного сертификата.

Бесплатный wildcard от Let's Encrypt: как он работает

Let's Encrypt выдаёт wildcard-сертификаты бесплатно, но только через DNS-валидацию. При каждом выпуске владение доменом подтверждается специальной TXT-записью: центр сертификации просит создать в DNS домена запись с именем _acme-challenge и проверочным значением, а затем проверяет, что она появилась. Положить файл на сайт, как для обычного сертификата, здесь нельзя. Что такое TXT-запись и где её редактируют, объясняем в материале про DNS-записи простыми словами.

Сертификат Let's Encrypt живёт 90 дней, так что продление — не разовая акция, а регулярный процесс. В отрасли сроки действия сертификатов в целом постепенно сокращают, поэтому без автоматизации дальше будет только сложнее.

Автопродление работает гладко, только если ваш DNS-провайдер даёт API, а панель хостинга или программа выпуска сертификатов умеет с ним общаться и сама создаёт нужную TXT-запись. Если API нет, каждые три месяца кто-то добавляет запись руками. И однажды забудет — проверено чужими шишками. Почему автоматика может отказать и как за ней следить, мы разобрали в статье про автопродление Let's Encrypt.

Перед выбором бесплатного wildcard задайте один вопрос: кто и как будет создавать TXT-запись при каждом продлении. Если ответ «вручную» — сертификат рано или поздно истечёт.

Платный wildcard: за что платят

Шифрование у платного и бесплатного wildcard одинаковое — браузеру всё равно, сколько стоил сертификат. Платят за другое: более долгий срок действия, поддержку центра сертификации и возможность выпустить сертификат с проверкой организации.

• С проверкой домена (DV). Подтверждается только владение доменом — через DNS-запись или письмо на служебный адрес домена. Выпускается быстро, подходит большинству сайтов.
• С проверкой организации (OV). Центр сертификации дополнительно проверяет юридическое лицо, и его название попадает в сведения о сертификате. Выпуск занимает дольше, потому что нужны документы.
• С расширенной проверкой (EV). В формате wildcard такие сертификаты не выпускаются — это ограничение отраслевых правил, а не конкретного продавца.

Платный вариант разумен, когда DNS-провайдер не даёт API и автоматизировать бесплатный выпуск не получается, или когда проверка организации нужна по требованиям партнёров и банка. Подробно о разнице между типами проверки и о том, когда платить не за что, — в статье бесплатный или платный SSL.

Как получить и установить wildcard: пошагово

1. Составьте список всех адресов, которые должны работать по HTTPS: основной домен, www, поддомены, включая сервисные. Проверьте, нет ли поддоменов второго уровня.
2. Выясните, где управляется DNS домена — у регистратора, хостера или стороннего провайдера — и есть ли у вас туда доступ.
3. Выберите вариант: бесплатный Let's Encrypt, если DNS можно менять автоматически, или платный, если нет.
4. Запустите выпуск в панели хостинга или у продавца сертификата и укажите оба имени: *.site.ru и site.ru.
5. Подтвердите владение доменом: создайте TXT-запись с выданным значением и дождитесь, пока она станет видна.
6. Установите сертификат на все серверы, где живут поддомены. Если магазин на одном сервере, а кабинет на другом, сертификат нужен на обоих.
7. Откройте в браузере основной домен и несколько поддоменов, убедитесь, что везде замок и верная дата окончания.
8. Настройте автопродление и напоминание, которое сработает, если автоматика подведёт.

Безопасность: один ключ на все поддомены

У wildcard есть обратная сторона, о которой редко говорят при продаже. Сертификат работает в паре с закрытым ключом — секретным файлом, который лежит на сервере. Раз сертификат один на все поддомены, копия ключа оказывается на каждом сервере, где он установлен.

Если злоумышленник получит ключ с самого слабого сервера — например, с забытого тестового стенда, — он сможет выдавать себя за любой ваш поддомен, включая кабинет и оплату. Поэтому для особо важных адресов иногда выпускают отдельный сертификат, а wildcard оставляют для остального. И в любом случае не стоит раздавать ключ подрядчикам и ставить его на серверы, за которыми никто не следит.

Частые ошибки с wildcard-сертификатами

• Забыли про основной домен. Сертификат выпущен только на маску, и site.ru без www остаётся без защиты.
• Рассчитывают на вложенные поддомены. Адреса вида test.lk.site.ru маска первого уровня не закрывает.
• Ручная TXT-запись при продлении. Бесплатный wildcard без автоматической работы с DNS превращается в задачу, про которую вспоминают уже после истечения срока.
• Установили не везде. Сертификат обновили на основном сервере, а на втором остался старый — и часть поддоменов показывает ошибку. Чем это оборачивается, описано в статье о том, что будет, если SSL истёк.
• Берут wildcard для разных доменов. Маска *.site.ru ничего не знает про site.com.
• Хранят ключ где попало. Архив с ключом в почте или общем чате сводит на нет смысл сертификата.

Чек-лист перед выпуском wildcard

• Составлен полный список поддоменов, включая сервисные и тестовые.
• Проверено, что нет адресов второго уровня вложенности, или для них запланирована отдельная маска.
• Есть доступ к управлению DNS домена.
• Понятно, как будет создаваться TXT-запись при продлении: автоматически или вручную.
• Основной домен включён в сертификат отдельным именем.
• Известно, на какие серверы нужно установить сертификат.
• Настроен контроль срока действия и назначен ответственный.

Коротко

Wildcard — один сертификат на все поддомены одного уровня, включая будущие. Он выгоден от трёх-пяти поддоменов, не покрывает вложенные адреса и другие домены, а в бесплатном варианте требует автоматической работы с DNS. Для нескольких разных доменов нужен мультидоменный сертификат, для одного сайта — обычный.

Если у проекта от трёх поддоменов или они появляются регулярно, wildcard избавляет от зоопарка сертификатов и просрочек в самый неудачный момент. Подобрать тип и подключить SSL-сертификат с автопродлением без ручных TXT-записей поможем в CasperLab.