Het juiste SSL-certificaat kiezen: Wildcard versus SAN (Multi-Domain)

Kort antwoord: Een Wildcard SSL-certificaat beveiligt één domein en alle subdomeinen daaronder met één gedeelde sleutel, terwijl een SAN-certificaat (Multi-Domain) tot 250 afzonderlijke domeinen op naam vermeldt. Kies Wildcard voor een groeiend aantal subdomeinen onder één domein en SAN wanneer u meerdere afzonderlijke domeinen beheert of een strakkere controle over uw privésleutel nodig hebt.

Als u meer dan één domein of subdomein voor uw organisatie moet beveiligen, heeft u zich waarschijnlijk wel eens afgevraagd: moeten we een wildcard SSL-certificaat of een SAN-certificaat (Subject Alternative Name) gebruiken? Het lijkt in eerste instantie eenvoudig, maar de keuze die u maakt, heeft gevolgen voor uw beveiliging, de werkdruk van uw team en uw budget.

Samenvatting

Wildcard- en SAN-certificaten zijn beide openbare TLS-certificaten en worden daarom direct beïnvloed door het voorstel SC-081v3 van het CA/Browser Forum. Dit voorstel verlaagt de maximale geldigheidsduur van openbare TLS-certificaten naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029 ( CA/Browser Forum ; ook behandeld door Sectigo ). Dit betekent een ruwe achtvoudige toename van de jaarlijkse vernieuwingslast voor elk certificaattype, van één keer per jaar nu naar ongeveer elke zeven weken in 2029. Handmatige controle is nu al lastig met de huidige frequentie: uit de Trust Pulse Survey van DigiCert (2 juli 2025) bleek dat 45% van de organisaties melding maakte van downtime als gevolg van certificaatproblemen, en 37.5% kon een storing direct herleiden tot een verlopen certificaat ( DigiCert, 2 juli 2025 ).

Welk type je ook kiest, de operationele discipline blijft hetzelfde: certificaatdetectie over het volledige domein, automatisering van certificaatvernieuwing en het soort CBOM- zichtbaarheid dat ook de PQC-gereedheid ondersteunt . Door nu al die zichtbaarheid te creëren, krijgen teams de cryptografische flexibiliteit om kortere geldigheidsperioden zonder problemen op te vangen.

Snelle checklist

• Breng eerst uw domeinstructuur in kaart: één domein met veel subdomeinen verwijst naar Wildcard, meerdere afzonderlijke domeinen verwijzen naar SAN.
• Houd rekening met de blootstelling van de privésleutel: een wildcardcertificaat deelt één sleutel met elk subdomein dat het dekt.
• Controleer of uw certificeringsinstantie het aantal domeinen en de heruitgifteprocedure ondersteunt die u nodig hebt naarmate de geldigheidsperioden korter worden.
• Voeg beide certificaattypen toe aan dezelfde gecentraliseerde inventaris die wordt gebruikt voor andere TLS- en codeondertekeningscertificaten.
• Stel de automatische verlenging in voordat u een van beide typen kiest, aangezien handmatige registratie niet schaalbaar is voor een geldigheidsduur van 47 dagen.

Ga naar: Functievergelijkingstabel | Koopbeslissingstabel | Wie is de eigenaar? | Wat moet u nu doen? | Hoe encryptieconsulting u kan helpen ? | Veelgestelde vragen

Inzicht in wildcard- en SAN (multi-domein) SSL-certificaten

Laten we beginnen met de basisprincipes van wat elk certificaattype doet.

Een wildcard SSL-certificaat beveiligt één domein en al zijn subdomeinen op één niveau. Een wildcardcertificaat voor *.example.com dekt bijvoorbeeld mail.example.com, app.example.com en store.example.com, maar niet sub.sub.example.com. Het sterretje (*) fungeert als wildcard en komt overeen met elk subdomein dat zich één niveau onder uw hoofddomein bevindt.

Een SAN-certificaat (Subject Alternative Name) , ook wel een Multi-Domain SSL-certificaat of UCC-certificaat (Unified Communications Certificate) genoemd, werkt anders. In plaats van een wildcard te gebruiken, worden alle domeinen en subdomeinen afzonderlijk in het certificaat vermeld. Eén SAN-certificaat kan bijvoorbeeld example.com, shop.example.com, example.net en secureportal.anotherdomain.org tegelijk dekken.

Beide zijn betrouwbare TLS-certificaattypen . De keuze gaat niet over welke technisch sterker is, maar over welke het beste bij uw configuratie past.

Wildcard versus SAN SSL: Belangrijkste verschillen

Hieronder een vergelijking van deze twee certificaattypen:

Domeindekking: Een wildcard SSL-certificaat dekt één domein en een onbeperkt aantal subdomeinen op één niveau. Een SAN-certificaat kan tot 250 benoemde domeinen en subdomeinen dekken, inclusief volledig verschillende rootdomeinen.

Ondersteuning voor meerdere domeinen: Wildcardcertificaten zijn beperkt tot één basisdomein. SAN-certificaten zijn ontworpen voor gebruik met meerdere domeinen en kunnen volledig verschillende domeinen beveiligen met één certificaat.

Subdomeindiepte: Wildcardcertificaten werken slechts tot één niveau diep, bijvoorbeeld *.example.com. SAN-certificaten kunnen subdomeinen op elke diepte bevatten, zolang elk subdomein expliciet wordt vermeld.

Flexibiliteit: Wildcardcertificaten zijn flexibel wanneer al uw services onder één domein vallen. SAN-certificaten zijn een betere keuze wanneer u een mix van verschillende domeinen moet beheren.

Kosten: Wildcardcertificaten zijn doorgaans goedkoper per subdomein, omdat u slechts één keer betaalt, ongeacht hoeveel subdomeinen u toevoegt. De prijs van een SAN-certificaat is afhankelijk van het aantal vermelde domeinen.

Risico met betrekking tot privésleutels: Bij een wildcardcertificaat wordt één privésleutel gedeeld over alle subdomeinen, wat het risico vergroot als die sleutel wordt gecompromitteerd. SAN-certificaten bieden meer controle, waardoor het risico gemakkelijker te beheersen is.

Een belangrijk punt: beide certificaattypen gebruiken dezelfde standaard TLS-versleuteling. Het verschil zit hem alleen in de manier waarop elk certificaat de domeinen identificeert die het beschermt, niet in de sterkte van de versleuteling.

Dekkingsvergelijking: welke domeinen en subdomeinen zijn beschermd?

Dekking van wildcardcertificaten:

• Een certificaat voor *.example.com dekt app.example.com, mail.example.com en portal.example.com, oftewel elk subdomein dat direct onder dat ene domein valt.
• Het omvat niet example.com zelf (die moet je apart toevoegen), dev.app.example.com (twee niveaus diep) of andere rootdomeinen.

Dekking van SAN-certificaten:

• Een SAN-certificaat kan example.com, www.example.com, app.example.com, example.net en beta.anotherbrand.org allemaal in één certificaat vermelden.
• De meeste certificeringsinstanties ondersteunen tot 250 alternatieve onderwerpnamen per certificaat.
• Elk domein moet geregistreerd zijn op het moment dat het certificaat wordt uitgegeven. Nieuwe domeinnamen zijn niet automatisch gedekt.

Een praktisch voorbeeld: als u een SaaS-platform beheert waarbij elke klant een eigen subdomein krijgt, zoals customer1.yourapp.com of customer2.yourapp.com, is een wildcardcertificaat de eenvoudigere keuze. Maar als u vijf afzonderlijke merkdomeinen beheert voor een holding, is een SAN-certificaat een betere optie.

Overwegingen met betrekking tot beveiliging, beheer en kosten

• Beveiliging: Met een wildcardcertificaat wordt één privésleutel gedeeld over alle subdomeinen die het dekt. ​​Dit is handig, maar het betekent ook dat als die privésleutel ooit gecompromitteerd raakt, alle subdomeinen gevaar lopen. SAN-certificaten stellen u in staat om sleutels per domein of service nauwkeuriger te beheren, wat nuttig is in sectoren zoals de financiële sector of de gezondheidszorg, waar strenge beveiligingseisen gelden.
• Beheer: Wildcardcertificaten zijn gemakkelijk te beheren bij groeiende subdomeinlijsten, omdat u het certificaat niet hoeft bij te werken wanneer u een nieuw subdomein toevoegt. SAN-certificaten vereisen een heruitgifte telkens wanneer u een nieuw domein aan de lijst toevoegt, wat extra administratief werk met zich meebrengt voor teams met veranderende domeinbehoeften.
• Kosten: Wildcardcertificaten zijn meestal voordeliger als u veel subdomeinen hebt, omdat u maar één keer betaalt, ongeacht hoeveel subdomeinen u toevoegt. De prijs van een SAN-certificaat is doorgaans gebaseerd op het aantal vermelde domeinen, dus de kosten stijgen naarmate uw lijst groeit. Voor een klein aantal verschillende domeinen kan een SAN-certificaat soms de goedkopere optie zijn.

Wanneer kies je voor een wildcard SSL-certificaat in plaats van een SAN-certificaat?

Kies een wildcard SSL-certificaat wanneer:

• Je beheert één domein met veel subdomeinen of bent van plan om in de loop der tijd meer subdomeinen toe te voegen.
• Je wilt het graag eenvoudig houden en wilt niet telkens een nieuw certificaat aanvragen wanneer een nieuwe dienst wordt gestart.
• Je beheert een SaaS- of multi-tenantplatform waarbij elke klant of omgeving een eigen subdomein krijgt.
• Uw team is klein en heeft behoefte aan een zo eenvoudig mogelijk beheer van SSL-certificaten.

Kies een SAN (Multi-Domain) SSL-certificaat wanneer:

• Je moet meerdere verschillende domeinen beveiligen, zoals verschillende hoofddomeinen voor verschillende merken of producten.
• Uw organisatie beheert domeinen met verschillende TLD's, zoals .com, .net of .org.
• U hebt meer controle over het beheer van privésleutels nodig voor beveiligings- of compliance-doeleinden.
• Voor controledoeleinden hebt u een duidelijk overzicht nodig van elk beveiligd domein binnen het certificaat.

Er is geen eenduidig ​​antwoord. Het beste certificaattype voor u hangt af van de structuur van uw domeinen, hoeveel tijd uw team aan certificaatbeheer kan besteden en hoeveel risico uw organisatie bereid is te accepteren.

Functievergelijkingstabel: Wildcard versus SAN in één oogopslag

Deze tabel zet beide certificaattypen op een rij, gebaseerd op de criteria die het belangrijkst zijn voor de dagelijkse bedrijfsvoering, en niet alleen voor de initiële uitgifte.

criteria	Wildcard SSL	SAN (Multi-Domain)
Compatibiliteit met automatisering	Hoog; wordt eenmalig verlengd en dekt automatisch nieuwe subdomeinen.	Gemiddeld; voor elk toegevoegd domein is een nieuwe uitgifte nodig.
CA-ondersteuning	Ondersteund door vrijwel alle openbare CA's	Ondersteund door de meeste openbare CA's, tot ongeveer 250 SAN's per certificaat.
Protocolondersteuning	Werkt met ACME en handmatige uitgifte.	Werkt met ACME en handmatige uitgifte.
CLM-platformintegraties	Standaardondersteuning voor de belangrijkste CLM-platformen.	Standaardondersteuning voor de belangrijkste CLM-platformen.
Rapportage en controletraject	Eén certificaat vereenvoudigt de rapportage, maar verhult de details per subdomein.	Een overzicht per domein biedt duidelijkere auditdetails.
PQC-gereedheid	Hetzelfde migratiepad als voor elk openbaar TLS-certificaat.	Hetzelfde migratiepad als voor elk openbaar TLS-certificaat.
Implementatiemodel	Het meest geschikt voor één domein met veel subdomeinen.	Het meest geschikt voor meerdere verschillende domeinen of merken.
Beoordeling of bron	Certificaattype gedefinieerd door de basisvereisten van het CA/Browser Forum, niet door een beoordeeld leveranciersproduct.	Certificaattype gedefinieerd door de basisvereisten van het CA/Browser Forum, niet door een beoordeeld leveranciersproduct.

Kopersbeslissingstabel

Keuze	Best voor	Beperkingen	Geschikt voor implementatie	Integraties	Prijstransparantie	Bewijs/bron
Wildcard SSL	SaaS- en multi-tenantplatformen die in de loop der tijd subdomeinen toevoegen.	Gedeelde privésleutel voor alle subdomeinen; geen dekking voor het hoofddomein of twee niveaus dieper.	Eén domein, veel subdomeinen	Standaard CLM- en ACME-ondersteuning	Vaste prijs ongeacht het aantal subdomeinen.	Basisvereisten voor het CA/Browser Forum
SAN (Multi-Domain)	Organisaties die meerdere afzonderlijke merkdomeinen of TLD's beheren.	Vereist heruitgifte voor elk toegevoegd domein; de prijs stijgt met het aantal domeinen.	Meerdere afzonderlijke domeinen, tot wel ~250 SAN's	Standaard CLM- en ACME-ondersteuning	De prijs is afhankelijk van het aantal vermelde domeinen.	Basisvereisten voor het CA/Browser Forum

Wie is de eigenaar? Impact en actie van het team.

Team	Waarom het voor hen belangrijk is	Onmiddellijke actie
PKI-team	Beheert de certificaatvoorraad en bepaalt welk type certificaat bij elke domeinstructuur past.	Breng elk domein en subdomein in kaart en wijs vervolgens een wildcard of SAN toe op basis van de structuur.
Beveiligingsteam	Beheert het blootstellingsvenster als een gedeelde wildcard-privésleutel wordt gecompromitteerd.	Stel een beleid vast voor wanneer wildcards acceptabel zijn en wanneer sleutelisolatie van de SAN vereist is.
Platformteam	Verantwoordelijk voor de automatisering die certificaten uitgeeft en verlengt in verschillende omgevingen.	Controleer of ACME of een gelijkwaardige automatiseringsoplossing beide certificaattypen dekt voordat ze worden opgeschaald.
Complianceteam	Beschikt over auditbewijs waaruit blijkt welke domeinen door welk certificaat worden gedekt.	Bevestig dat SAN-certificaten worden gebruikt waar gedetailleerde auditgegevens per domein vereist zijn.

Wat te doen Volgende

• PKI-teams: Inventariseer elk domein en subdomein en classificeer elk als een wildcard- of SAN-kandidaat.
• Beveiligingsteams: Stel een beleid in dat het gebruik van wildcards beperkt wanneer het delen van privésleutels onaanvaardbaar is.
• Platformteams: Controleer of de automatische verlenging voor beide certificaattypen is ingeschakeld voordat de geldigheidsperioden verder worden verkort.
• Nalevingsteams: Controleer of in de certificaatgegevens staat welke specifieke domeinen elk certificaat dekt, zodat dit voor controledoeleinden kan worden geverifieerd.

Hoe encryptieconsultancy kan helpen

Of je nu kiest voor een Wildcard SSL-certificaat of een SAN-certificaat, de operationele uitdaging blijft hetzelfde: bijhouden welke certificaten je hebt, wanneer ze verlopen en ervoor zorgen dat er niets over het hoofd wordt gezien. Naarmate je domein groeit, groeit ook die uitdaging. CertSecure Manager is speciaal ontwikkeld om dit probleem op te lossen.

CertSecure Manager is het platform voor certificaatlevenscyclusbeheer van Encryption Consulting. Het biedt uw team een ​​centraal overzicht van elk certificaat in uw omgeving, ongeacht het type, de certificeringsinstantie of de implementatielocatie. Of u nu een enkel wildcardcertificaat beheert dat honderden subdomeinen dekt, of een groeiende inventaris van SAN-certificaten verspreid over meerdere merkdomeinen, met CertSecure Manager blijft alles zichtbaar en onder controle.

Dit is wat het omvat:

Certificaatdetectie: CertSecure Manager scant uw infrastructuur om een ​​volledig overzicht te maken van alle gebruikte SSL-certificaten, inclusief wildcard- en SAN-certificaten die mogelijk zijn uitgegeven maar vergeten. U kunt niet beheren wat u niet kunt zien.

Vervaldatumbewaking en automatische verlenging: Elk certificaat in uw inventaris wordt bijgehouden op basis van de vervaldatum. CertSecure Manager signaleert certificaten die bijna verlopen en automatiseert de verlenging, zodat uw team nooit voor verrassingen komt te staan ​​doordat een verlopen certificaat een subdomein of domein platlegt.

Ondersteuning voor meerdere CA's: Of uw wildcard- of SAN-certificaten nu zijn uitgegeven door een openbare certificeringsinstantie of een interne CA, CertSecure Manager beheert ze allemaal op één plek zonder dat u uw bestaande CA-relaties hoeft te wijzigen.

Auditlogboek voor naleving: Voor sectoren waar duidelijke documentatie van elk beveiligd domein een nalevingsvereiste is, registreert CertSecure Manager elke certificaatgebeurtenis. Zo beschikken uw beveiligings- en auditteams over het benodigde bewijsmateriaal.

Inzicht in risico's met betrekking tot privésleutels: Een van de belangrijkste risico's van wildcardcertificaten is een gedeelde privésleutel voor alle subdomeinen. CertSecure Manager biedt u inzicht in waar certificaten en de bijbehorende sleutels worden gebruikt, zodat u snel kunt ingrijpen als een sleutel moet worden ingetrokken en vervangen.

Het kiezen van het juiste certificaattype is de eerste beslissing. Ervoor zorgen dat het certificaat correct wordt beheerd, tijdig wordt verlengd en volledig wordt geregistreerd in uw omgeving, is de doorlopende taak die uw gebruikers dagelijks beschermt. Teams die zich al voorbereiden op de algoritme-overgang kunnen ook gebruikmaken van het PQC Center of Excellence van EC , dat dezelfde ontdekkings- en beheeraanpak toepast op de migratie na de kwantumovergang.

Conclusie

De keuze tussen een Wildcard SSL-certificaat en een SAN-certificaat draait niet om het kiezen van de meest geavanceerde optie. Het gaat erom het juiste certificaat te kiezen dat aansluit bij uw specifieke situatie.

Als u voornamelijk onder één domein werkt en steeds subdomeinen toevoegt, biedt een wildcardcertificaat u eenvoud en ruimte voor groei. Als u veel verschillende domeinen beheert voor verschillende merken of regio's, geeft een SAN-certificaat u de controle en duidelijke documentatie die u nodig hebt.

Hoe dan ook, het doel blijft hetzelfde: elk domein en subdomein dat uw gebruikers bezoeken, moet worden beschermd door correct geconfigureerde HTTPS-encryptie, zonder verlopen certificaten en zonder hiaten in de dekking. Het juiste certificaattype is slechts de helft van het werk. Neem contact op met onze PKI-experts om de certificaatstrategie te vinden die daadwerkelijk bij uw omgeving past, en de tools om deze probleemloos te laten functioneren.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit 'Het juiste SSL-certificaat kiezen: Wildcard versus SAN (multi-domein)'?

De juiste keuze hangt af van de domeinstructuur, niet van welk type technisch sterker is: een wildcard is geschikt voor één domein met veel subdomeinen, terwijl een SAN geschikt is voor meerdere afzonderlijke domeinen of merken. Beide typen moeten in dezelfde geautomatiseerde certificaatinventaris worden opgenomen.

Waarom is dit belangrijk voor het beheer van de levenscyclus van bedrijfscertificaten?

Zowel Wildcard- als SAN-certificaten zijn openbare TLS-certificaten die onderworpen zijn aan de steeds korter wordende geldigheidsperioden van het CA/Browser Forum. Aangezien verlengingen vanaf 2029 niet langer jaarlijks, maar elke zeven weken hoeven plaats te vinden, moet elk type certificaat dat een onderneming kiest, worden bijgehouden en verlengd via hetzelfde certificaatbeheerproces als alle andere certificaten.

Welke teams zijn verantwoordelijk voor de uitvoering van deze richtlijnen?

PKI-teams brengen de domeinstructuur in kaart en kiezen het certificaattype, beveiligingsteams stellen het beleid vast voor de openbaarmaking van privésleutels, platformteams onderhouden de automatisering van verlengingen en compliance-teams controleren of het auditbewijs elk domein dekt.

Welke risico's nemen toe als dit onderwerp handmatig wordt behandeld?

Een handmatig beheerd wildcardcertificaat concentreert het risico in één gedeelde privésleutel voor alle subdomeinen, en een handmatig beheerd SAN-certificaat kan worden vergeten wanneer een nieuw domein wordt toegevoegd maar het certificaat nooit opnieuw wordt uitgegeven, waardoor dat domein onbeschermd blijft.

Hoe vermindert automatisering het risico op certificaatuitval?

Geautomatiseerde detectie en verlenging signaleren een naderende vervaldatum van een Wildcard- of SAN-certificaat voordat deze verloopt, en geautomatiseerde heruitgifteprocessen voor SAN-certificaten zorgen ervoor dat een nieuw toegevoegd domein nooit per ongeluk van het certificaat wordt weggelaten.

Welke meetgegevens moeten teams bijhouden na de implementatie?

Houd de volledigheid van de certificaatinventaris bij voor beide typen, het succespercentage van de verlenging, de tijd die nodig is om een ​​SAN-certificaat opnieuw uit te geven na een domeinwijziging, en hoe snel een gecompromitteerde privésleutel van een wildcardcertificaat kan worden ingetrokken en vervangen.

Hoe hangt dit samen met de gereedheid van het TLS-certificaat binnen 47 dagen?

Wildcard- en SAN-certificaten zijn beide openbare TLS-certificaten en worden daarom direct beïnvloed door de overgang naar een maximale geldigheidsduur van 47 dagen per maart 2029. Automatisering die voor het ene type certificaat werkt, moet ook voor het andere werken, aangezien handmatige verlenging bij die frequentie niet schaalbaar is voor beide typen.

Hoe moet dit worden aangepakt in multi-cloud- of hybride PKI-omgevingen?

Beheer wildcard- en SAN-certificaten in dezelfde protocolonafhankelijke, gecentraliseerde inventaris die wordt gebruikt voor alle clouds, certificeringsinstanties en interne PKI's in de omgeving, in plaats van elk certificaattype of elke cloudprovider afzonderlijk te beheren.

Welke optie is het meest geschikt voor grote ondernemingen?

Grote ondernemingen hebben vaak beide nodig: wildcardcertificaten voor SaaS- of multi-tenantplatformen met een groeiend aantal subdomeinen, en SAN-certificaten voor afzonderlijke merkdomeinen of gereguleerde omgevingen die gedetailleerde audits per domein vereisen. De keuze wordt per domeinstructuur gemaakt, niet als een uniform beleid voor de hele organisatie.

Welke criteria moeten kopers gebruiken om leveranciers te vergelijken?

Bij de evaluatie van een certificeringsinstantie of een platform voor certificaatlevenscyclusbeheer is het belangrijk om te kijken naar compatibiliteit met automatisering, ondersteunde protocollen zoals ACME, het maximale aantal domeinen per certificaat, integratie met bestaande CLM-tools, de diepte van audits en rapportages, en duidelijk gedocumenteerde prijzen in plaats van alleen af ​​te gaan op marketingclaims.