Je voudrais savoir si des certificats supportent un double joker comme *.*.example.com? Je viens de parler au téléphone avec mon fournisseur SSL actuel (register.com) et la fille là-bas m'a dit qu'ils n'offraient rien de tel et qu'elle ne pensait pas que c'était possible de toute façon.
Est-ce que quelqu'un peut me dire si c'est possible, et si les navigateurs le prennent en charge?
RFC2818 déclare :
Si plusieurs identités d'un même type sont présentes dans le certificat (par exemple, plusieurs noms dNSName, une correspondance dans un seul ensemble est considérée comme acceptable). Les noms peuvent contenir le caractère générique * qui est considéré comme correspondant à n'importe quel composant ou fragment de nom de domaine unique. Par exemple, *.a.com correspond à foo.a.com mais pas à bar.foo.a.com. f*.com correspond à foo.com mais pas à bar.com.
Internet Explorer se comporte conformément au RFC, où chaque niveau nécessite son propre certificat avec un caractère générique. Firefox accepte un seul *.domaine.com où * correspond à tout ce qui se trouve devant domaine.com, y compris other.levels.domaine.com, mais gère également les types *.*.domaine.com.
Donc, pour répondre à votre question : c'est possible, et pris en charge par les navigateurs.
Merci! Les tests sur FF 3.5.7 ce matin ont montré qu'il est désormais conforme à la norme RFC de la même manière que IE. Il a rejeté mon certificat .example.com pour foo.bar.example.com. Donc, juste pour clarifier, tout ce dont j'ai besoin est un autre certificat générique qui a *..example.com comme Nom Commun ?
Je viens de tester sur FF 3.5 et IE 8 et aucun des deux n'accepte un certificat pour ..example.com. Je pense que la seule solution est d'utiliser plusieurs certificats génériques.
Toutes les réponses ici sont obsolètes ou pas entièrement correctes, ne tenant pas compte du RFC 6125 de 2011.
Conformément au RFC 6125, un seul caractère générique est autorisé dans le fragment le plus à gauche.
Valide :
*.sous.domaine.tld
*.domaine.tldNon valide :
sous.*.domaine.tld
*.*.domaine.tld
domaine.*
*.tld
sous.*.*Un fragment, ou également appelé "label", est un composant clos, par exemple : *.com (2 labels) ne correspond pas à label.label.com (3 labels) - cela a déjà été défini dans le RFC 2818.
Avant 2011 dans le RFC 2818, la configuration n'était pas entièrement claire :
Les spécifications des technologies d'application existantes ne sont pas claires ou cohérentes quant à l'emplacement autorisé du caractère générique.
Cela a changé avec le RFC 6125 de 2011 (6.4.3) :
Le client NE DOIT PAS essayer de faire correspondre un identifiant présenté dans lequel le caractère générique comprend un label autre que le label le plus à gauche (par exemple, ne pas faire correspondre bar.*.exemple.net).
Lorsque le certificat SSL Wildcard est émis pour *.domain.com, vous pouvez sécuriser un nombre illimité de sous-domaines sur le domaine principal.
Par exemple :
Si le certificat SSL Wildcard est émis sur *.sub1.domain.com, dans ce cas, vous pouvez sécuriser tous les sous-domaines de deuxième niveau qui sont répertoriés sous sub1.domain.com
Par exemple :
Si vous souhaitez sécuriser un nombre limité de sous-domaines et de domaines de deuxième niveau, vous pouvez choisir un certificat SSL multi-domaines qui peut sécuriser jusqu'à 100 noms de domaine avec un seul certificat.
Par exemple :
Vous devez connaître vos besoins réels pour choisir un certificat SSL.
Je faisais des recherches sur ce sujet car j'ai les mêmes exigences pour sécuriser les sous-sous-domaines et j'ai découvert une solution de DigiCert.
Ce certificat indique qu'il prend en charge yourdomain.com, *.yourdomain.com, *.*.yourdomain.com et ainsi de suite.
Actuellement, c'est plutôt cher, mais on espère que d'autres fournisseurs commenceront à proposer des certificats similaires et à réduire les prix.
SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.
17 votes
FYI pour les futurs visiteurs, aucun navigateur ne prend en charge un certificat double joker comme
*.*.example.comen 2015. Aucune idée pourquoi.1 votes
@Mahn Doit-on alors écrire
*.a.a.com,*.b.a.com,*.c.a.com, ... manuellement?1 votes
@LiamWilliam apparemment, je n'ai pas trouvé d'autres combinaisons que les navigateurs aiment jusqu'à présent. C'est pénible.
2 votes
@William oui, mais d'un autre côté, n'utilisez pas le
.pour séparer les éléments de votre domaine qui appartiennent ensemble - les domaines sont des préoccupations de domaine. Pourquoi auriez-vous besoin dephpmyadmin.serverX.domain.com, alors quephpmyadmin-serverX.domain.comest sémantiquement plus précis et plus facile à gérer en termes de DNS et de TLS.