SSL-Zertifikat für mehrere Domains: Einzel-, Wildcard- oder SAN-Zertifikat?

Umgangssprachlich ist häufig von SSL-Zertifikaten die Rede, technisch schützt heute TLS die Verbindung. Das Zertifikat bestätigt die Identität der aufgerufenen Domain und enthält den öffentlichen Schlüssel. Der private Schlüssel bleibt auf der verwendeten Infrastruktur.

Welche Zertifikatsarten eignen sich?

Ein Zertifikat für *.example.com gilt beispielsweise für www.example.com und shop.example.com, aber nicht automatisch für example.com oder api.shop.example.com. Soll auch die Hauptdomain gelten, muss sie zusätzlich als eigener SAN eingetragen sein.

Wann ist ein gemeinsames Zertifikat sinnvoll?

• Die Namen werden gemeinsam betrieben und erneuert.
• Alle beteiligten Systeme können Zertifikat und privaten Schlüssel sicher nutzen.
• Eine gemeinsame Laufzeit und ein gemeinsamer Ausfallbereich sind akzeptabel.
• Die im Zertifikat sichtbaren Namen dürfen miteinander verknüpft erkennbar sein.

Ein SAN-Zertifikat kann Verwaltungsaufwand reduzieren. Gleichzeitig betrifft ein Erneuerungs- oder Verteilungsfehler mehrere Namen. Werden Projekte von unterschiedlichen Teams oder auf unabhängigen Plattformen betrieben, sind getrennte Zertifikate oft robuster und begrenzen den Zugriff auf private Schlüssel.

Wildcard-Zertifikate sind kein Ersatz für DNS- und Serverkonfiguration. Jeder Host benötigt weiterhin passende DNS-Einträge, eine TLS-Konfiguration und einen Dienst, der den angefragten Namen verarbeitet.

So triffst Du die Auswahl

1. Liste alle aktuell benötigten Domainnamen und Subdomain-Ebenen auf.
2. Prüfe, ob die Namen gemeinsam oder getrennt verwaltet werden.
3. Wähle SAN für eine feste Namensliste, Wildcard für viele direkte Subdomains oder einzelne Zertifikate für Isolation.
4. Automatisiere Ausstellung und Erneuerung über ACME, sofern Anbieter und Plattform dies unterstützen.
5. Teste nach jeder Erneuerung Zertifikatskette, Namen, Laufzeit und Weiterleitungen.

Vor einem Anbieterwechsel sollte außerdem geklärt werden, wer die Domainvalidierung übernimmt und ob DNS- oder HTTP-Challenges möglich sind. DNS-Challenges arbeiten häufig mit temporären TXT-Records.

Häufige Fragen

Vergleiche neben dem Preis vor allem Automatisierung, Validierungsverfahren, Support und die sichere Schlüsselverwaltung.