Due modi per coprire più di un nome. Il jolly copre tutto un livello; il certificato SAN elenca nomi precisi. Con Let's Encrypt costano lo stesso da gestire, e la differenza è operativa.

SAN - un elenco di nomi

sudo certbot --nginx -d example.com -d www.example.com -d shop.example.com
  • Funziona con la convalida HTTP - nessuna API DNS necessaria.
  • Un nuovo sottodominio comporta una riemissione, che è un solo comando.
  • Il certificato pubblica l'elenco dei nomi, quindi ogni sottodominio che lei ha è pubblico.

Jolly - tutto un livello

sudo certbot certonly --manual --preferred-challenges dns \
  -d example.com -d '*.example.com'
  • Copre qualsiasi sottodominio, compresi quelli che ancora non esistono.
  • Richiede la convalida DNS - quindi il rinnovo vuole un accesso API al suo fornitore DNS, oppure una persona presente ogni sessanta giorni.
  • Copre UN solo livello: *.example.com non copre a.b.example.com.
  • Non copre il dominio nudo - elenchi anche example.com, come sopra.

La differenza di sicurezza che decide

Una chiave jolly vale per ogni sottodominio. La metta su cinque server e la compromissione di uno solo dà a un aggressore un certificato valido per tutti, sottodominio dei pagamenti compreso. Un certificato SAN per server tiene stretto quel raggio d'esplosione.

Che cosa scegliere

  • Pochi sottodomini su un solo server - SAN. Convalida più semplice e rinnovo più semplice.
  • Molti sottodomini, o generati per ciascun cliente - jolly, con convalida DNS automatica.
  • Sottodomini su server diversi - un certificato distinto per ciascuno, qualunque sia il numero.
sudo certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cf.ini \
  -d example.com -d '*.example.com'
Lo automatizzi in entrambi i casi. Una sfida DNS fatta a mano ogni sessanta giorni è un rinnovo che prima o poi verrà mancato - veda i sottodomini jolly.