Een standaard certificaat beveiligt specifieke hostnamen; een wildcard certificaat dekt meerdere subdomeinen op één niveau, zoals *.example.nl. De beste keuze hangt af van je DNS- en infrastructuurmodel.
Stap voor stap
1. Kies standaard bij enkele hostnamen
Voor example.nl en www.example.nl is een normaal SAN-certificaat meestal eenvoudig en gratis te automatiseren.
2. Kies wildcard bij veel dynamische subdomeinen
*.example.nl kan handig zijn voor klantomgevingen of staging-hostnamen die regelmatig wisselen.
3. Begrijp de beperking
*.example.nl dekt niet automatisch example.nl zelf en ook niet a.b.example.nl.
4. Plan DNS-validatie
Wildcardcertificaten vereisen doorgaans DNS-01-validatie. Automatisering is het makkelijkst wanneer je DNS-provider een API heeft.
5. Beperk private-key verspreiding
Eén wildcard private key op veel servers vergroot de impact bij lekkage.
6. Overweeg losse certificaten per service
Met moderne ACME-automatisering zijn individuele certificaten vaak veiliger en eenvoudig te beheren.
DNS-01 challenge
_acme-challenge.example.nl. TXT "validatie-token"Veelgemaakte fouten
- Aannemen dat wildcard ook meerdere niveaus dekt.
- Dezelfde wildcard private key ongecontroleerd naar meerdere servers kopiëren.
Korte controlelijst
- Benodigde hostnamen geïnventariseerd.
- DNS-API beschikbaar indien wildcard.
- Private-key beheer afgesproken.
Conclusie
Wildcard SSL of standaard SSL: welke heb je nodig? wordt overzichtelijk wanneer je de wijzigingen gecontroleerd uitvoert, tussendoor test en back-ups paraat houdt. Heb je een productieomgeving waarop geen foutmarge mogelijk is, voer de wijziging dan eerst op staging uit of laat een beheerder meekijken.
