Un record DNS jolly risponde per qualunque sottodominio lei non abbia definito esplicitamente: è così che un servizio dà a ogni cliente il proprio indirizzo senza toccare il DNS per ciascuno.

*.yourdomain.com.  300  IN  A  1.2.3.4

Il record preciso vince sempre

Se mail.yourdomain.com esiste, è quello che viene usato. Il jolly risponde solo per i nomi che non hanno un record proprio - quindi non può rompere ciò che lei ha già.

Il certificato deve corrispondere

Un certificato normale per yourdomain.com non copre i suoi sottodomini. Senza un certificato jolly, ogni nuovo sottodominio mostra un avviso del browser - che agli occhi di un cliente somiglia esattamente a un sito violato.
certbot certonly --manual --preferred-challenges dns \
  -d yourdomain.com -d "*.yourdomain.com"

Un certificato jolly si può emettere solo tramite convalida DNS, non con il consueto controllo HTTP. Il che significa un token API del suo fornitore DNS se vuole che si rinnovi da solo - e da solo è l'unico rinnovo che valga qualcosa.

Il server web deve accettarli

server {
    server_name ~^(?<sub>.+)\.yourdomain\.com$;
    root /var/www/tenants/$sub;
}

Questo cattura il sottodominio e lo usa: è così che un solo blocco di server serve mille clienti.

A che cosa badare

  • Ora un errore di battitura si risolve invece di fallire, quindi un indirizzo scritto male arriva al suo server invece di dare errore.
  • Tutto ciò che si fida del nome host deve convalidarlo: un nome di inquilino preso da un URL è input dell'utente.
Se le servono solo pochi sottodomini, li definisca. Il jolly è per il caso in cui davvero non può conoscere i nomi in anticipo.