Multi-Domain SSL Yapılandırma Best Practices

Multi-domain (SAN/UCC) sertifika, tek sertifika içinde birden çok farklı alan adını Subject Alternative Name alanında barındırır. Doğru planlanırsa yenileme ve sunucu yönetimi basitleşir; plansız kullanıldığında ise tek bir değişiklik tüm siteleri etkiler.

Ne zaman mantıklı?

• Aynı kuruluşa ait example.com, example.net, shop.example.com gibi alan adlarını tek IP/sunucuda yayınlarken.
• Exchange, Skype/Lync gibi çok sayıda ana bilgisayar adı isteyen kurumsal ürünlerde.
• Alt alan adları sınırlı ve bilinen sayıdaysa; çok sayıda ve değişkense Wildcard SSL daha uygundur.

Kurgu önerileri

1. Adları baştan listeleyin. Sertifikaya sonradan ad eklemek genellikle yeniden düzenleme (reissue) gerektirir.
2. www ve çıplak alan adını birlikte ekleyin. Bazı ürünlerde ikisi de dahildir, ürün sayfasını kontrol edin.
3. İlgisiz projeleri karıştırmayın. Farklı ekiplerin siteleri aynı sertifikayı kullanırsa özel anahtar paylaşımı riski doğar.
4. Her ad için doğrulama yapın. Her SAN girdisi ayrı alan adı kontrolünden geçer; DNS erişimini önceden hazırlayın.
5. OV/EV ise kuruluş aynı olmalı. Doğrulanan kuruluş adı sertifikadaki tüm adlar için geçerlidir.

CSR'da SAN tanımlama

OpenSSL ile CSR üretirken adları yapılandırma dosyasında belirtirsiniz:

[ alt_names ]
DNS.1 = example.com
DNS.2 = www.example.com
DNS.3 = shop.example.net

Oluşturma için CSR oluşturma aracını da kullanabilirsiniz.

Kontrol

openssl x509 -in cert.pem -noout -ext subjectAltName

Çıktıda tüm adların listelendiğini görmelisiniz. Nginx/Apache tarafında aynı sertifika dosyası birden çok sanal sunucuda kullanılabilir; SNI sayesinde tek IP yeterlidir.

Yenileme ve değişiklik yönetimi

Tek sertifika birden çok siteyi kapsadığından yenileme zamanı kritiktir: süresi dolarsa hepsi aynı anda uyarı verir. Yenilemeyi en az bir hafta önceden planlayın, yeni dosyaları tüm ilgili sunuculara dağıtacak bir listeniz olsun. Ad eklemek ya da çıkarmak gerektiğinde sertifikanın yeniden düzenlenmesi (reissue) gerekir; ayrıntılar ürün koşullarında yazılıdır.

Çoklu alan adı seçeneklerini SSL sertifikaları sayfasında karşılaştırabilirsiniz.