Выбор между сертификатом на все поддомены и сертификатом со списком имён — вопрос не цены, а управляемости.
Сертификат на все поддомены закрывает любое имя одного уровня. Удобно, когда поддомены плодятся сами: тестовые стенды, клиентские площадки, служебные сервисы. Минус в том, что один закрытый ключ становится ключом ко всему сразу, и его приходится раскладывать на все серверы, где эти поддомены живут.
Список имён в одном сертификате устроен наоборот: каждое имя перечислено явно. Добавили новый сервис — нужен перевыпуск. Зато видно, что именно покрыто, и можно держать разные сертификаты на разных серверах.
Пара нюансов, на которых спотыкаются.
Имя без поддомена в сертификат на поддомены не входит. Его добавляют отдельно, и об этом вспоминают, когда голый домен уже перестал открываться.
Вложенность не наследуется: второй уровень поддоменов такой сертификат не покрывает.
Правило простое: чем больше серверов держат один ключ, тем дороже обходится его утечка.
SSL и Домены
@ssl_domains_ru_n1k
Выбор между сертификатом на все поддомены и сертификатом со списком имён — вопрос не цены, а управляемости.
Этот пост опубликован в Telegram-канале SSL и Домены. Подписаться можно по ссылке: @ssl_domains_ru_n1k.