Wildcard- und Multi-Domain-(SAN)-Zertifikate sichern beide viele Namen—lösen aber unterschiedliche Inventarformen. Wildcard deckt unbegrenzte First-Level-Subdomains unter einer Basis ab (*.example.com). Multi-Domain listet explizite Hostnames über eine oder mehrere registrierbare Domains. Falsche Wahl verschwendet Geld oder erzwingt umständliche Reissues. Dieser Leitfaden hilft EuroVDC-Kunden in Sofia (EU), Abdeckung an die Realität anzupassen.
Optionen unter SSL-Zertifikate vergleichen; auf Hosting oder eigenem Stack installieren.
Abdeckungsmodelle in Klartext
- Wildcard (*.example.com): Matcht shop.example.com, api.example.com, anything.example.com—aber nicht example.com selbst, sofern das Produkt Apex nicht bundelt, und nicht a.b.example.com (mehrstufig).
- Multi-Domain / SAN: Explizite Liste: www.example.com, example.com, www.other.com, pay.brand.net. Jeder Name muss bei Ausstellung bekannt sein (oder Reissue beim Hinzufügen).
- Single-Name-DV: Ein Hostname. Fein für einfache Sites; ungeeignet bei vielen Hosts.
Produktblatt lesen: manche „Wildcard“-SKUs bundeln Apex; manche SAN-Pakete deckeln bei 3/5/100 Namen.
Was passt zu welchem Stack?
| Situation | Tendenz |
|---|---|
| Viele unbekannte künftige Subdomains (Previews, Tenants, Regionen) | Wildcard |
| Fixe kurze Liste über mehrere Root-Domains | Multi-Domain-SAN |
| Nur Apex + www | Single oder kleines SAN—kein Wildcard |
| Strenge Key-Hygiene / Least Privilege pro Host | Separate Zerts oder kleines SAN (geteilter Wildcard-Key = größerer Blast Radius) |
| Häufige Marken-Microsites auf neuen Domains | SAN-Pakete oder LE-Automation pro Domain |
Ops- und Security-Trade-offs
Wildcard-Pro: Eine Installation deckt neue Subdomains ohne CA-Runden. Ideal für dynamische Umgebungen.
Wildcard-Contra: Ein Private Key schützt viele Hosts—Compromise ist breiter. DNS-01 für LE-Wildcards braucht sorgfältige DNS-ACL. Geschwister-Domains nicht abgedeckt.
SAN-Pro: Explizites Inventar; Audits leichter („nur diese Namen“). Marken auf einem Zert wenn wirklich nötig mischbar.
SAN-Contra: Name hinzufügen heißt Reissue/Redeploy. Name-Cap erzwingt anderes Produkt oder Split-Zerts.
Checkliste vor dem Kauf
- Jeden Hostname listen der Tag eins funktionieren muss (inkl. Apex).
- Schätzen wie oft neue Subdomains in 12 Monaten entstehen.
- Notieren ob Namen eine oder viele registrierbare Domains teilen.
- Entscheiden wer den Private Key hält und wie rotiert wird.
- Automation (Panel-LE oder ACME) für volatile Namen; kommerzielle Packs bei Procurement oder OV/EV.
EuroVDC-Ansatz
Passendes Produkt über SSL-Zertifikate für Sofia-Hosting oder Server bestellen. Wildcard bei hohem Subdomain-Churn unter einer Domain; Multi-Domain bei fixer Cross-Domain-Liste. Webhosting-Renewals und HTTPS-Redirects langweilig halten—Abdeckungswahl ersetzt keine Mixed-Content-Bereinigung.
Vor dem Kauf die Hostname-Liste mit Marketing und Dev abstimmen: oft fehlen Staging- oder API-Hosts in der SAN-Liste, oder Wildcard wird gekauft obwohl nur Apex und www live sind. Weniger Namen, klarer Owner, getesteter Chain-Check schlagen spekulative Maximal-Pakete.
Häufig gestellte Fragen
Deckt *.example.com auch example.com ab?
Meist nicht allein. Prüfen ob das SKU Apex enthält oder als SAN hinzufügen. Beides vor Go-live testen.
Kann ein SAN zwei Marken absichern?
Ja wenn beide Namen auf dem Zert stehen und Sie Validierung für jede kontrollieren. Manche Teams bevorzugen getrennte Zerts für Blast Radius und Billing-Klarheit.
Ist Wildcard besser für SEO?
Nein. SEO braucht funktionierendes HTTPS je öffentlicher URL. Abdeckungsmodell ist eine Ops-Wahl.
Wildcard oder viele Let’s-Encrypt-Zerts?
Ist ACME solide, können viele LE-Zerts ein bezahltes Wildcard beim Preis schlagen. Wildcard wählen wenn Ausstellungsreibung oder unbekannte künftige Subdomains dominieren.
Verschachtelte Subdomains (a.b.example.com)?
Standard-*.example.com deckt sie nicht. Tieferes Wildcard-Produkt falls angeboten nutzen oder explizit auf einem SAN nennen.
Kauf bei EuroVDC?
SSL-Zertifikate öffnen, Wildcard oder Multi-Domain passend zum Inventar wählen, auf dem terminierenden Host installieren, jeden Namen im Browser prüfen.
