Cómo elegir el certificado SSL adecuado: Comodín frente a SAN (Multidominio)

Respuesta rápida: Un certificado SSL Wildcard protege un dominio y todos los subdominios del nivel inferior bajo una única clave compartida, mientras que un certificado SAN (Multidominio) incluye hasta 250 dominios individuales por nombre. Elija Wildcard para una lista creciente de subdominios bajo un mismo dominio, y SAN cuando administre varios dominios distintos o necesite un control más estricto de la clave privada.

Si necesita proteger más de un dominio o subdominio para su organización, probablemente se haya preguntado: ¿deberíamos usar un certificado SSL comodín o un certificado SAN (Nombre Alternativo del Sujeto)? A primera vista parece sencillo, pero la elección que haga afectará su seguridad, la carga de trabajo de su equipo y su presupuesto.

Resumen Ejecutivo

Los certificados Wildcard y SAN son certificados TLS públicos, por lo que ambos se ven directamente afectados por la votación SC-081v3 del CA/Browser Forum, que reduce gradualmente la validez máxima de los certificados TLS públicos a 200 días en marzo de 2026, 100 días en marzo de 2027 y 47 días para marzo de 2029 ( CA/Browser Forum ; también cubierto por Sectigo ). Esto representa un aumento de aproximadamente ocho veces en la carga de trabajo de renovación anual para cualquier tipo de certificado que se elija, de una vez al año en la actualidad a aproximadamente cada siete semanas para 2029. El seguimiento manual ya está teniendo dificultades con la cadencia actual: la encuesta Trust Pulse de DigiCert (2 de julio de 2025) encontró que el 45% de las organizaciones reportaron tiempo de inactividad relacionado con certificados, y el 37.5% atribuyó una interrupción directamente a un certificado caducado ( DigiCert, 2 de julio de 2025 ).

Independientemente del tipo que elija, la disciplina operativa es la misma: detección de certificados en todo el dominio, automatización de certificados para su renovación y una visibilidad de CBOM que también permite la preparación para PQC . Desarrollar esta visibilidad ahora brinda a los equipos la agilidad criptográfica necesaria para adaptarse a la reducción de los períodos de validez sin contratiempos.

Lista de verificación rápida

• Primero, mapea la estructura de tu dominio: un dominio con muchos subdominios apunta a Wildcard, varios dominios distintos apuntan a SAN.
• Considerar la exposición de la clave privada: un certificado comodín comparte una misma clave en todos los subdominios que abarca.
• Confirme que su CA admite el recuento de dominios y el flujo de trabajo de reemisión que necesitará a medida que se reduzcan los períodos de validez.
• Agregue ambos tipos de certificados al mismo inventario centralizado que se utiliza para otros certificados TLS y de firma de código.
• Configure la automatización de la renovación antes de adoptar cualquiera de los dos tipos, ya que el seguimiento manual no se adaptará a una validez de 47 días.

Ir a: Tabla comparativa de características | Tabla de decisiones del comprador | ¿Quién es el propietario? | ¿Qué hacer a continuación? | Cómo puede ayudar la consultoría en cifrado | Preguntas frecuentes

Comprensión de los certificados SSL comodín y SAN (multidominio)

Comencemos con los aspectos básicos de lo que hace cada tipo de certificado.

Un certificado SSL comodín protege un dominio y todos sus subdominios en un solo nivel. Por ejemplo, un certificado comodín para *.example.com cubrirá mail.example.com, app.example.com y store.example.com, pero no cubrirá sub.sub.example.com. El asterisco (*) actúa como comodín y coincide con cualquier subdominio un nivel por debajo del dominio principal.

Un certificado SAN (Subject Alternative Name) , también llamado certificado SSL multidominio o UCC (Unified Communications Certificate), funciona de manera diferente. En lugar de usar un comodín, enumera cada dominio y subdominio por su nombre dentro del certificado. Un solo certificado SAN puede cubrir example.com, shop.example.com, example.net y secureportal.anotherdomain.org simultáneamente.

Ambos son tipos de certificados TLS confiables . La decisión no radica en cuál es técnicamente más seguro, sino en cuál se adapta mejor a tu configuración.

SSL Wildcard vs. SAN: Diferencias clave

Aquí se muestra una comparación lado a lado de estos dos tipos de certificados:

Cobertura de dominio: Un certificado SSL comodín cubre un dominio y un número ilimitado de sus subdominios en un solo nivel. Un certificado SAN puede cubrir hasta 250 dominios y subdominios con nombre, incluyendo dominios raíz completamente diferentes.

Compatibilidad con múltiples dominios: Los certificados comodín se limitan a un único dominio base. Los certificados SAN están diseñados para su uso en múltiples dominios y pueden proteger dominios completamente diferentes con un solo certificado.

Profundidad del subdominio: Los certificados comodín solo funcionan hasta un nivel de profundidad, por ejemplo *.example.com. Los certificados SAN pueden incluir subdominios a cualquier profundidad, siempre que cada uno esté especificado explícitamente.

Flexibilidad: Los certificados comodín son flexibles cuando todos tus servicios se encuentran bajo un mismo dominio. Los certificados SAN son la mejor opción cuando necesitas administrar una combinación de dominios diferentes.

Costo: Los certificados comodín suelen costar menos por subdominio, ya que se paga una sola vez independientemente de la cantidad de subdominios que se agreguen. El precio de los certificados SAN varía según la cantidad de dominios listados.

Riesgo de clave privada: Con un certificado comodín, una única clave privada se comparte entre todos los subdominios, lo que aumenta el riesgo si dicha clave se ve comprometida. Los certificados SAN permiten un mayor control, por lo que el riesgo es más fácil de contener.

Un punto importante: ambos tipos de certificados utilizan el mismo cifrado TLS estándar. La diferencia radica únicamente en cómo cada certificado identifica los dominios que protege, no en la solidez del cifrado.

Comparación de cobertura: ¿Qué dominios y subdominios están protegidos?

Cobertura de certificados comodín:

• Un certificado para *.example.com cubre app.example.com, mail.example.com y portal.example.com, es decir, cualquier subdominio que se encuentre directamente bajo ese dominio.
• No incluye example.com (debe agregarlo por separado), dev.app.example.com (dos niveles de profundidad) ni ningún otro dominio raíz.

Cobertura de certificados SAN:

• Un certificado SAN puede incluir example.com, www.example.com, app.example.com, example.net y beta.anotherbrand.org en un solo certificado.
• La mayoría de las autoridades de certificación admiten hasta 250 nombres alternativos de sujeto por certificado.
• Todos los dominios deben estar incluidos en la lista al momento de emitir el certificado. No existe cobertura automática para los nombres nuevos.

Un ejemplo práctico: si administras una plataforma SaaS donde cada cliente tiene su propio subdominio, como customer1.yourapp.com o customer2.yourapp.com, un certificado Wildcard es la opción más sencilla. Pero si administras cinco dominios de marca distintos para una empresa matriz, un certificado SAN es la mejor opción.

Consideraciones sobre seguridad, gestión y costes

• Seguridad: Con un certificado comodín, una clave privada se comparte entre todos los subdominios que abarca. Esto es práctico, pero también significa que si esa clave privada se ve comprometida, todos los subdominios corren riesgo. Los certificados SAN permiten gestionar las claves con mayor precisión por dominio o servicio, lo cual resulta útil en sectores como el financiero o el sanitario, donde los requisitos de seguridad son estrictos.
• Administración: Los certificados comodín son fáciles de gestionar para listas de subdominios en crecimiento, ya que no es necesario actualizar el certificado al añadir un nuevo subdominio. Los certificados SAN requieren una nueva emisión cada vez que se añade un nuevo dominio a la lista, lo que supone una carga administrativa adicional para los equipos con necesidades de dominio cambiantes.
• Costo: Los certificados comodín suelen ser más rentables cuando se tienen muchos subdominios, ya que se paga una sola vez independientemente de la cantidad de subdominios que se añadan. El precio de los certificados SAN generalmente se basa en la cantidad de dominios listados, por lo que el costo aumenta a medida que crece la lista. Para un número reducido de dominios diferentes, un certificado SAN a veces puede ser la opción más económica.

Cuándo elegir un certificado SSL comodín frente a un certificado SAN.

Elija un certificado SSL comodín cuando:

• Usted administra un dominio con muchos subdominios o planea agregar más subdominios con el tiempo.
• Quieres que las cosas sigan siendo sencillas y no quieres volver a emitir un certificado cada vez que se inicie un nuevo servicio.
• Usted administra una plataforma SaaS o multiusuario donde cada cliente o entorno obtiene su propio subdominio.
• Tu equipo es pequeño y necesita que la gestión de certificados SSL sea lo más sencilla posible.

Elija un certificado SSL SAN (multidominio) cuando:

• Necesitas proteger varios dominios diferentes, como distintos dominios raíz para diferentes marcas o productos.
• Su organización gestiona dominios en diferentes TLD como .com, .net o .org.
• Necesitas un control más estricto sobre la gestión de claves privadas por motivos de seguridad o cumplimiento normativo.
• Necesitas un registro claro de cada dominio protegido dentro del certificado para la auditoría.

No existe una única respuesta correcta. El tipo de certificado más adecuado para usted depende de cómo estén estructurados sus dominios, cuánto tiempo pueda dedicar su equipo a la gestión de certificados y cuánto riesgo esté dispuesta a asumir su organización.

Tabla comparativa de características: Wildcard vs. SAN de un vistazo

Esta tabla compara ambos tipos de certificados con los criterios más importantes para las operaciones en curso, no solo para la emisión inicial.

Criterios	SSL comodín	SAN (Multidominio)
Compatibilidad de automatización	Alto; se renueva una sola vez y cubre automáticamente los nuevos subdominios.	Moderado; cada dominio añadido requiere una nueva emisión.
Soporte de CA	Respaldado por casi todas las autoridades de certificación públicas.	Compatible con la mayoría de las autoridades de certificación públicas, hasta aproximadamente 250 SAN por certificado.
Soporte de protocolo	Funciona con ACME y emisión manual.	Funciona con ACME y emisión manual.
Integraciones de la plataforma CLM	Compatibilidad estándar con las principales plataformas CLM.	Compatibilidad estándar con las principales plataformas CLM.
Registro de informes y auditoría	Un único certificado simplifica la elaboración de informes, pero oculta los detalles por subdominio.	La lista por dominio proporciona detalles de auditoría más claros.
Preparación para PQC	La misma ruta de migración que cualquier certificado TLS público.	La misma ruta de migración que cualquier certificado TLS público.
modelo de implementación	Ideal para un dominio con muchos subdominios.	Ideal para múltiples dominios o marcas distintas.
Calificación o fuente	Tipo de certificado definido por los requisitos básicos del CA/Browser Forum, no un producto de proveedor calificado.	Tipo de certificado definido por los requisitos básicos del CA/Browser Forum, no un producto de proveedor calificado.

Tabla de decisiones del comprador

Opción	Ideal para	Limitaciones	Ajuste de despliegue	ERP y SAP	Transparencia de precios	Prueba/fuente
SSL comodín	Plataformas SaaS y multiusuario que añaden subdominios con el tiempo.	Clave privada compartida en todos los subdominios; sin cobertura para el dominio raíz o dos niveles más profundos.	Dominio único, muchos subdominios	Soporte estándar de CLM y ACME	Precio fijo independientemente del número de subdominios.	Requisitos básicos del foro de CA/Browser
SAN (Multidominio)	Organizaciones que gestionan varios dominios de marca o TLD distintos.	Requiere una nueva emisión por cada dominio añadido; el precio varía según la cantidad de dominios.	Múltiples dominios distintos, hasta ~250 SAN	Soporte estándar de CLM y ACME	El precio varía según el número de dominios listados.	Requisitos básicos del foro de CA/Browser

¿Quién es el responsable?: Impacto y acciones del equipo

Equipo	Por qué les importa	Acción inmediata
Equipo PKI	Es propietario del inventario de certificados y decide qué tipo se ajusta a cada estructura de dominio.	Mapea cada dominio y subdominio, luego asigna un comodín o SAN según la estructura.
Equipo de seguridad	Posee la ventana de exposición si se ve comprometida una clave privada Wildcard compartida.	Establezca una política sobre cuándo se acepta el uso de comodines y cuándo se requiere el aislamiento de claves de SAN.
equipo de la plataforma	Es responsable de la automatización que emite y renueva certificados en diferentes entornos.	Confirme que ACME o una automatización equivalente cubra ambos tipos de certificados antes de su implementación a gran escala.
Equipo de cumplimiento	Posee evidencia de auditoría que muestra qué dominios están cubiertos por qué certificado.	Confirme que se utilizan certificados SAN siempre que se requiera un nivel de detalle de auditoría por dominio.

Qué hacer a continuación

• Equipos PKI: Inventaría todos los dominios y subdominios y clasifica cada uno como candidato a comodín o SAN.
• Equipos de seguridad: Establezca una política que limite el uso de comodines cuando la exposición de claves privadas compartidas sea inaceptable.
• Equipos de plataforma: Confirme que la automatización de la renovación esté implementada para ambos tipos de certificados antes de que los períodos de validez se reduzcan aún más.
• Equipos de cumplimiento: Confirme que los registros de certificados muestren qué dominios específicos cubre cada certificado a efectos de auditoría.

Cómo puede ayudar la consultoría de cifrado

Ya sea que elija un certificado SSL comodín o un certificado SAN, el desafío operativo es el mismo: llevar un registro de sus certificados, su fecha de vencimiento y asegurarse de que no se pierda ningún detalle. A medida que su dominio crece, este desafío aumenta. CertSecure Manager está diseñado precisamente para gestionar esto.

CertSecure Manager es la plataforma de gestión del ciclo de vida de certificados de Encryption Consulting. Ofrece a su equipo una visión centralizada de todos los certificados de su entorno, independientemente de su tipo, autoridad de certificación o ubicación. Tanto si gestiona un único certificado comodín que abarca cientos de subdominios como si administra un inventario creciente de certificados SAN en múltiples dominios de marca, CertSecure Manager mantiene todo visible y bajo control.

Esto es lo que abarca:

Detección de certificados: CertSecure Manager analiza su infraestructura para crear un inventario completo de todos los certificados SSL en uso, incluidos los certificados comodín y SAN que se hayan emitido y olvidado. No se puede gestionar lo que no se ve.

Seguimiento de caducidad y renovación automática: Se realiza un seguimiento de cada certificado de su inventario en función de su fecha de caducidad. CertSecure Manager marca los certificados próximos a caducar y automatiza su renovación, para que su equipo nunca se vea sorprendido por un certificado caducado que pueda afectar a un subdominio o dominio.

Compatibilidad con múltiples CA: tanto si sus certificados Wildcard o SAN son emitidos por una Autoridad de Certificación pública como por una CA interna, CertSecure Manager los gestiona todos en un solo lugar sin necesidad de que modifique sus relaciones con las CA existentes.

Registro de auditoría para el cumplimiento normativo: Para los sectores donde la documentación clara de cada dominio protegido es un requisito de cumplimiento, CertSecure Manager registra cada evento de certificado, proporcionando a sus equipos de seguridad y auditoría el registro de pruebas que necesitan.

Visibilidad del riesgo de la clave privada: Uno de los principales riesgos de los certificados comodín es la clave privada compartida entre todos los subdominios. CertSecure Manager le permite visualizar dónde se implementan los certificados y sus claves asociadas, para que pueda actuar con rapidez si es necesario revocar y reemplazar una clave.

Elegir el tipo de certificado adecuado es la primera decisión. Asegurarse de que se gestione correctamente, se renueve a tiempo y se registre de forma exhaustiva en todo el entorno es el trabajo continuo que protege a los usuarios a diario. Los equipos que ya planifican la transición del algoritmo también pueden recurrir al Centro de Excelencia PQC de EC , que aplica el mismo enfoque de descubrimiento y gobernanza a la migración post-cuántica.

Conclusión

Elegir entre un certificado SSL comodín y un certificado SAN no se trata de seleccionar la opción más avanzada, sino de encontrar el certificado adecuado para tu configuración específica.

Si trabajas principalmente con un solo dominio y añades subdominios con frecuencia, un certificado comodín te ofrece simplicidad y flexibilidad para crecer. Si gestionas muchos dominios diferentes en distintas marcas o regiones, un certificado SAN te proporciona el control y la documentación clara que necesitas.

En cualquier caso, el objetivo sigue siendo el mismo: cada dominio y subdominio que visiten sus usuarios debe estar protegido mediante un cifrado HTTPS configurado correctamente, sin certificados caducados ni brechas de seguridad. El tipo de certificado adecuado solo representa una parte del problema. Consulte con nuestros expertos en PKI para encontrar la estrategia de certificados que mejor se adapte a su entorno y las herramientas necesarias para que funcione sin problemas.

Preguntas frecuentes

¿Cuál es la principal conclusión de "Selección del certificado SSL adecuado: comodín frente a SAN (multidominio)"?

La elección correcta depende de la estructura del dominio, no de qué tipo sea técnicamente más robusto: el certificado comodín se adapta a un dominio con muchos subdominios, mientras que el certificado SAN se adapta a varios dominios o marcas distintos, y ambos deben estar dentro del mismo inventario automatizado de certificados.

¿Por qué es importante esto para la gestión del ciclo de vida de los certificados empresariales?

Tanto los certificados Wildcard como los SAN son certificados TLS públicos sujetos a la reducción de los periodos de validez del CA/Browser Forum. A medida que las renovaciones pasen de ser anuales a ser cada siete semanas para 2029, cualquier tipo de certificado que elija una empresa deberá ser gestionado y renovado mediante el mismo proceso de administración del ciclo de vida del certificado que el resto.

¿Qué equipos son responsables de poner en práctica estas directrices?

Los equipos de PKI (Infraestructura de Clave Pública) mapean la estructura del dominio y eligen el tipo de certificado, los equipos de seguridad establecen políticas sobre la exposición de claves privadas, los equipos de plataforma mantienen la automatización de la renovación y los equipos de cumplimiento confirman que la evidencia de auditoría cubre todos los dominios.

¿Qué riesgos aumentan si este tema se aborda manualmente?

Un certificado comodín con seguimiento manual concentra el riesgo en una clave privada compartida en todos los subdominios, y un certificado SAN con seguimiento manual puede olvidarse cuando se agrega un nuevo dominio pero el certificado nunca se vuelve a emitir, dejando ese dominio desprotegido.

¿Cómo reduce la automatización el riesgo de interrupción de los certificados?

La detección y renovación automatizadas permiten anticipar la caducidad de un certificado comodín o SAN antes de que expire, y los flujos de trabajo de reemisión automatizados para certificados SAN garantizan que un dominio recién agregado nunca se quede fuera del certificado por error.

¿Qué métricas deberían monitorizar los equipos tras la implementación?

Realizar un seguimiento de la exhaustividad del inventario de certificados en ambos tipos, la tasa de éxito de la renovación, el tiempo necesario para volver a emitir un certificado SAN después de un cambio de dominio y la rapidez con la que se puede revocar y reemplazar una clave privada Wildcard comprometida.

¿Cómo se relaciona esto con el plazo de 47 días para la obtención del certificado TLS?

Los certificados comodín y SAN son certificados TLS públicos, por lo que ambos se ven directamente afectados por el cambio a una validez máxima de 47 días a partir de marzo de 2029. La automatización que funciona para un tipo debe funcionar para el otro, ya que la renovación manual no será escalable para ninguno de los dos con esa frecuencia.

¿Cómo debería gestionarse esto en entornos PKI híbridos o multinube?

Realice un seguimiento de los certificados Wildcard y SAN en el mismo inventario centralizado e independiente del protocolo, utilizado en todas las nubes, CA y PKI internas del entorno, en lugar de gestionar cada tipo de certificado o cada proveedor de nube por separado.

¿Qué opción es la mejor para las grandes empresas?

Las grandes empresas suelen necesitar ambos: certificados comodín para plataformas SaaS o multiusuario con un número creciente de subdominios, y certificados SAN para dominios de marca específicos o entornos regulados que requieren auditorías detalladas por dominio. La elección se realiza según la estructura del dominio, no como una política única para toda la organización.

¿Qué criterios deben utilizar los compradores para comparar proveedores?

Al evaluar una Autoridad de Certificación o una plataforma de gestión del ciclo de vida de los certificados, compare la compatibilidad con la automatización, los protocolos compatibles como ACME, el número máximo de dominios por certificado, la integración con las herramientas CLM existentes, la profundidad de la auditoría y los informes, y los precios claramente documentados, en lugar de basarse únicamente en las afirmaciones de marketing.