Ein Wildcard-Zertifikat ist ein Zertifikat, das für alle Subdomains einer Ebene gilt. Im Namen steht an deren Stelle ein Stern, und damit deckt ein einziges Zertifikat beliebig viele Namen ab.
- Wildcard-Zertifikat
Ein Zertifikat, das für alle Subdomains einer Ebene gilt.
Beispiel: „Mit einem Wildcard-Zertifikat brauchte jede neue Subdomain keinen eigenen Antrag mehr.“Der Stern deckt genau eine Ebene: Ein Zertifikat für alles unter einer Domain gilt für shop.example.com und nicht für api.shop.example.com. Für die zweite Ebene braucht es ein weiteres.
Abgrenzung zum SAN-Zertifikat: Dieses listet mehrere Namen einzeln auf. Das ist genauer und verlangt bei jedem neuen Namen eine Neuausstellung.
Wann ein Wildcard-Zertifikat passt
Wenn Subdomains kommen und gehen. Ein System mit einer Subdomain je Kunde wäre mit Einzelzertifikaten eine Dauerbaustelle; mit einem Wildcard gilt das Zertifikat sofort für den neuen Namen.
Bei Let's Encrypt ist es kostenlos und seit 2018 möglich. Ausgestellt wird es allein über einen Nachweis im DNS, weshalb der Anbieter der Domain eine Schnittstelle dafür haben muss.
Wo das Wildcard-Zertifikat seine Grenzen hat
Beim Schlüssel. Ein Zertifikat für alle Subdomains bedeutet einen Schlüssel für alle, und wer ihn in die Hände bekommt, kann sich für jede davon ausgeben.
Daraus folgt eine Empfehlung: Auf Systemen mit verschiedenen Vertrauensstufen gehören getrennte Zertifikate. Ein Testsystem und die Zahlungsstrecke teilen besser keinen Schlüssel.
Was bei einem Wildcard-Zertifikat einzurichten ist
Der nackte Name fehlt. Ein Stern deckt die Subdomains und nicht die Domain selbst; beides zusammen braucht zwei Einträge im Zertifikat.
Dazu kommt der Nachweis über DNS: Er verlangt einen TXT-Eintrag je Erneuerung. Ohne Schnittstelle beim Domainanbieter wird daraus Handarbeit alle neunzig Tage, und genau daran scheitert es in der Praxis.