Cómo elegir el certificado SSL adecuado: Comodín frente a SAN (Multidominio)

Si necesita proteger más de un dominio o subdominio para su organización, probablemente se haya preguntado: ¿deberíamos usar un certificado SSL comodín o un certificado SAN (Nombre Alternativo del Sujeto)? A primera vista parece sencillo, pero la elección que haga afectará su seguridad, la carga de trabajo de su equipo y su presupuesto.

Comprensión de los certificados SSL comodín y SAN (multidominio)

Comencemos con los aspectos básicos de lo que hace cada tipo de certificado.

Un certificado SSL comodín protege un dominio y todos sus subdominios en un solo nivel. Por ejemplo, un certificado comodín para *.example.com cubrirá mail.example.com, app.example.com y store.example.com, pero no cubrirá sub.sub.example.com. El asterisco (*) actúa como comodín y coincide con cualquier subdominio un nivel por debajo del dominio principal.

Un certificado SAN (Subject Alternative Name) , también llamado certificado SSL multidominio o UCC (Unified Communications Certificate), funciona de manera diferente. En lugar de usar un comodín, enumera cada dominio y subdominio por su nombre dentro del certificado. Un solo certificado SAN puede cubrir example.com, shop.example.com, example.net y secureportal.anotherdomain.org simultáneamente.

Ambos son tipos de certificados TLS confiables . La decisión no radica en cuál es técnicamente más seguro, sino en cuál se adapta mejor a tu configuración.

SSL Wildcard vs. SAN: Diferencias clave

Aquí se muestra una comparación lado a lado de estos dos tipos de certificados:

Cobertura de dominio: Un certificado SSL comodín cubre un dominio y un número ilimitado de sus subdominios en un solo nivel. Un certificado SAN puede cubrir hasta 250 dominios y subdominios con nombre, incluyendo dominios raíz completamente diferentes.

Compatibilidad con múltiples dominios: Los certificados comodín se limitan a un único dominio base. Los certificados SAN están diseñados para su uso en múltiples dominios y pueden proteger dominios completamente diferentes con un solo certificado.

Profundidad del subdominio: Los certificados comodín solo funcionan hasta un nivel de profundidad, por ejemplo *.example.com. Los certificados SAN pueden incluir subdominios a cualquier profundidad, siempre que cada uno esté especificado explícitamente.

Flexibilidad: Los certificados comodín son flexibles cuando todos tus servicios se encuentran bajo un mismo dominio. Los certificados SAN son la mejor opción cuando necesitas administrar una combinación de dominios diferentes.

Costo: Los certificados comodín suelen costar menos por subdominio, ya que se paga una sola vez independientemente de la cantidad de subdominios que se agreguen. El precio de los certificados SAN varía según la cantidad de dominios listados.

Riesgo de clave privada: Con un certificado comodín, una única clave privada se comparte entre todos los subdominios, lo que aumenta el riesgo si dicha clave se ve comprometida. Los certificados SAN permiten un mayor control, por lo que el riesgo es más fácil de contener.

Un punto importante: ambos tipos de certificados utilizan el mismo cifrado TLS estándar. La diferencia radica únicamente en cómo cada certificado identifica los dominios que protege, no en la solidez del cifrado.

Comparación de cobertura: ¿Qué dominios y subdominios están protegidos?

Cobertura de certificados comodín:

• Un certificado para *.example.com cubre app.example.com, mail.example.com y portal.example.com, es decir, cualquier subdominio que se encuentre directamente bajo ese dominio.
• No incluye example.com (debe agregarlo por separado), dev.app.example.com (dos niveles de profundidad) ni ningún otro dominio raíz.

Cobertura de certificados SAN:

• Un certificado SAN puede incluir example.com, www.example.com, app.example.com, example.net y beta.anotherbrand.org en un solo certificado.
• La mayoría de las autoridades de certificación admiten hasta 250 nombres alternativos de sujeto por certificado.
• Todos los dominios deben estar incluidos en la lista al momento de emitir el certificado. No existe cobertura automática para los nombres nuevos.

Un ejemplo práctico: si administras una plataforma SaaS donde cada cliente tiene su propio subdominio, como customer1.yourapp.com o customer2.yourapp.com, un certificado Wildcard es la opción más sencilla. Pero si administras cinco dominios de marca distintos para una empresa matriz, un certificado SAN es la mejor opción.

Consideraciones sobre seguridad, gestión y costes

• Seguridad: Con un certificado comodín, una clave privada se comparte entre todos los subdominios que abarca. Esto es práctico, pero también significa que si esa clave privada se ve comprometida, todos los subdominios corren riesgo. Los certificados SAN permiten gestionar las claves con mayor precisión por dominio o servicio, lo cual resulta útil en sectores como el financiero o el sanitario, donde los requisitos de seguridad son estrictos.
• Administración: Los certificados comodín son fáciles de gestionar para listas de subdominios en crecimiento, ya que no es necesario actualizar el certificado al añadir un nuevo subdominio. Los certificados SAN requieren una nueva emisión cada vez que se añade un nuevo dominio a la lista, lo que supone una carga administrativa adicional para los equipos con necesidades de dominio cambiantes.
• Costo: Los certificados comodín suelen ser más rentables cuando se tienen muchos subdominios, ya que se paga una sola vez independientemente de la cantidad de subdominios que se añadan. El precio de los certificados SAN generalmente se basa en la cantidad de dominios listados, por lo que el costo aumenta a medida que crece la lista. Para un número reducido de dominios diferentes, un certificado SAN a veces puede ser la opción más económica.

Cuándo elegir un certificado SSL comodín frente a un certificado SAN.

Elija un certificado SSL comodín cuando:

• Usted administra un dominio con muchos subdominios o planea agregar más subdominios con el tiempo.
• Quieres que las cosas sigan siendo sencillas y no quieres volver a emitir un certificado cada vez que se inicie un nuevo servicio.
• Usted administra una plataforma SaaS o multiusuario donde cada cliente o entorno obtiene su propio subdominio.
• Tu equipo es pequeño y necesita que la gestión de certificados SSL sea lo más sencilla posible.

Elija un certificado SSL SAN (multidominio) cuando:

• Necesitas proteger varios dominios diferentes, como distintos dominios raíz para diferentes marcas o productos.
• Su organización gestiona dominios en diferentes TLD como .com, .net o .org.
• Necesitas un control más estricto sobre la gestión de claves privadas por motivos de seguridad o cumplimiento normativo.
• Necesitas un registro claro de cada dominio protegido dentro del certificado para la auditoría.

No existe una única respuesta correcta. El tipo de certificado más adecuado para usted depende de cómo estén estructurados sus dominios, cuánto tiempo pueda dedicar su equipo a la gestión de certificados y cuánto riesgo esté dispuesta a asumir su organización.

Cómo puede ayudar la consultoría de cifrado

Ya sea que elija un certificado SSL comodín o un certificado SAN, el desafío operativo es el mismo: llevar un registro de sus certificados, su fecha de vencimiento y asegurarse de que no se pierda ningún detalle. A medida que su dominio crece, este desafío aumenta. CertSecure Manager está diseñado precisamente para gestionar esto.

CertSecure Manager es la plataforma de gestión del ciclo de vida de certificados de Encryption Consulting. Ofrece a su equipo una visión centralizada de todos los certificados de su entorno, independientemente de su tipo, autoridad de certificación o ubicación. Tanto si gestiona un único certificado comodín que abarca cientos de subdominios como si administra un inventario creciente de certificados SAN en múltiples dominios de marca, CertSecure Manager mantiene todo visible y bajo control.

Esto es lo que abarca:

Detección de certificados: CertSecure Manager analiza su infraestructura para crear un inventario completo de todos los certificados SSL en uso, incluidos los certificados comodín y SAN que se hayan emitido y olvidado. No se puede gestionar lo que no se ve.

Seguimiento de caducidad y renovación automática: Se realiza un seguimiento de cada certificado de su inventario en función de su fecha de caducidad. CertSecure Manager marca los certificados próximos a caducar y automatiza su renovación, para que su equipo nunca se vea sorprendido por un certificado caducado que pueda afectar a un subdominio o dominio.

Compatibilidad con múltiples CA: tanto si sus certificados Wildcard o SAN son emitidos por una Autoridad de Certificación pública como por una CA interna, CertSecure Manager los gestiona todos en un solo lugar sin necesidad de que modifique sus relaciones con las CA existentes.

Registro de auditoría para el cumplimiento normativo: Para los sectores donde la documentación clara de cada dominio protegido es un requisito de cumplimiento, CertSecure Manager registra cada evento de certificado, proporcionando a sus equipos de seguridad y auditoría el registro de pruebas que necesitan.

Visibilidad del riesgo de la clave privada: Uno de los principales riesgos de los certificados comodín es la clave privada compartida entre todos los subdominios. CertSecure Manager le permite visualizar dónde se implementan los certificados y sus claves asociadas, para que pueda actuar con rapidez si es necesario revocar y reemplazar una clave.

Elegir el tipo de certificado adecuado es la primera decisión. Asegurarse de que se gestione correctamente, se renueve a tiempo y se registre de forma exhaustiva en todo el entorno es el trabajo continuo que protege a sus usuarios a diario.

Conclusión

Elegir entre un certificado SSL comodín y un certificado SAN no se trata de seleccionar la opción más avanzada, sino de encontrar el certificado adecuado para tu configuración específica.

Si trabajas principalmente con un solo dominio y añades subdominios con frecuencia, un certificado comodín te ofrece simplicidad y flexibilidad para crecer. Si gestionas muchos dominios diferentes en distintas marcas o regiones, un certificado SAN te proporciona el control y la documentación clara que necesitas.

En cualquier caso, el objetivo sigue siendo el mismo: cada dominio y subdominio que visiten sus usuarios debe estar protegido mediante un cifrado HTTPS configurado correctamente, sin certificados caducados ni brechas de seguridad. El tipo de certificado adecuado solo representa una parte del problema. Consulte con nuestros expertos en PKI para encontrar la estrategia de certificados que mejor se adapte a su entorno y las herramientas necesarias para que funcione sin problemas.