Wildcard-SSL: ett sertifikat for alle subdomener

Driver du et nettsted med flere subdomener – for eksempel butikk.firma.no, blogg.firma.no og app.firma.no – kan det fort bli dyrt og tidkrevende å administrere et separat SSL-sertifikat for hvert av dem. Et wildcard-SSL-sertifikat løser dette med én enkelt anskaffelse.

Hva er et wildcard-sertifikat?

Et wildcard-sertifikat sikrer alle subdomener på ett nivå under et domene, skrevet med stjernenotasjon: *.domene.no. Det betyr at ett sertifikat automatisk dekker:

• www.domene.no
• butikk.domene.no
• blogg.domene.no
• app.domene.no
• post.domene.no

Stjernen (*) matcher ethvert gyldig subdomene på det aktuelle nivået. Legg merke til at wildcarden ikke dekker selve rotsdomenet (domene.no) – dette må enten oppgis som et SAN (Subject Alternative Name) eller sikres med et separat sertifikat. De fleste leverandører inkluderer rotsdomenet automatisk.

Hva wildcard ikke dekker

Et standard wildcard dekker kun ett nivå av subdomener. Det betyr at butikk.eu.domene.no ikke er dekket av *.domene.no. Trenger du dekning på flere nivåer, må du enten bruke *.butikk.domene.no som et eget wildcard eller velge et multi-domain-sertifikat (SAN).

Når lønner wildcard-SSL seg?

Wildcard er et godt valg dersom du:

• Har tre eller flere aktive subdomener i dag, eller planlegger å opprette nye
• Ønsker enklere administrasjon – ett fornyelsestidspunkt, én konfigurasjon
• Raskt vil legge til nye subdomener uten å vente på nytt sertifikat og ny utstedelsesprosess
• Drifter et SaaS-produkt der kunder får egne subdomener (f.eks. kunde1.app.no)

For nettsteder med bare ett eller to subdomener kan individuelle sertifikater – inkludert gratis Let’s Encrypt DV-sertifikater – være mer kostnadseffektive.

Valideringsnivå og wildcard

Wildcard-sertifikater er tilgjengelige på DV- og OV-nivå. EV-sertifikater støtter ikke wildcard per bransjestandard (CA/Browser Forum-reglene tillater det ikke). Trenger du EV og wildcard, må du kombinere et EV-sertifikat for selve domenet med separate sertifikater for subdomener.

Les mer om valideringsnivåene i vår artikkel om DV, OV og EV-sertifikater .

Slik fungerer utstedelse og DNS-validering

Wildcard-sertifikater krever vanligvis DNS-basert validering (DNS-01 challenge). Du legger til en spesifikk TXT-post i DNS-sonen for domenet, og CA-en bekrefter at du kontrollerer domenet ved å lese denne posten.

Stegene er typisk:

1. Bestill wildcard-sertifikat hos Vymo eller valgt CA
2. Motta DNS TXT-verdi som skal legges inn i DNS-sonen for *.domene.no
3. Legg til TXT-posten i DNS-administrasjonen (via Vymo-kontoen din under domeneadministrasjon )
4. CA-en verifiserer posten – vanligvis innen minutter til timer
5. Last ned og installer sertifikatet på webserveren

Wildcardkostnader vs. individuelle sertifikater

Wildcard-sertifikater koster mer enn enkle DV-sertifikater, men det er verdt å sammenligne totalkosten:

Fra omtrent tre til fem subdomener begynner wildcard å spare penger – og det sparer tid uansett.

Sikkerhetshensyn ved wildcard

Fordi ett sertifikat dekker alle subdomener, er den private nøkkelen mer verdifull. Ta disse forholdsreglene:

• Beskytt den private nøkkelen nøye – kompromitteres den, er alle subdomener eksponert
• Begrens tilgang til nøkkelen til de systemene som faktisk trenger den
• Roter sertifikatet ved mistanke om kompromittering
• Kombiner gjerne wildcard-SSL med DNSSEC for å beskytte DNS-oppføringene som peker til subdomenene

HSTS og wildcard

Har du satt opp HSTS med includeSubDomains-direktivet, gjelder HSTS automatisk alle subdomener sertifikatet dekker. Det er en sterk kombinasjon – HTTPS tvinges frem av nettleseren, og wildcard-sertifikatet sørger for at krypteringen faktisk er på plass for hvert subdomen.

Kom i gang med wildcard-SSL på .no

Vymo tilbyr wildcard-SSL-sertifikater som enkelt kan knyttes til ditt .no-domene. Du administrerer alt fra samme kontopanel der du håndterer domenefornyelse og DNS. Søk opp ditt .no-domene på Vymo-forsiden eller gå direkte til SSL-sertifikater for å se tilgjengelige alternativer.