Какой SSL-сертификат выбрать для многоязычного сайта с поддоменами?

Если для многоязычного сайта используются поддомены одного уровня, например en.example.com, de.example.com и fr.example.com, и в дальнейшем планируется добавлять новые языковые версии, сертификат с подстановочным знаком обычно проще обслуживать. Однако перед покупкой необходимо убедиться, что сертификат также охватывает основной домен example.com, а платформа для создания сайтов, CDN или сервер поддерживает установку этого сертификата.

Если языковых версий немного и их список не будет меняться, можно также использовать сертификат для нескольких доменов или отдельные сертификаты для каждого домена. Выбор зависит не от количества языков как такового, а от полного списка имен хостов, которые необходимо защитить, уровня доменов и места завершения HTTPS-соединения.

Составьте полный список доменов, которые нужно защитить

SSL-сертификат проверяет имя хоста в адресе, а не язык страницы, каталог сайта или IP-адрес сервера. Поэтому для example.com/en/ и example.com/de/ используется одно и то же имя хоста, и добавлять покрытие сертификата из-за различий в языке не нужно. А en.example.com и de.example.com — это два разных имени хоста.

Составляя список доменов, включите не только главные страницы языковых версий, но и основной домен, адрес www, а также отдельные поддомены, используемые, например, для интернет-магазина и форм запросов. Даже если адрес используется только для перенаправления, для него требуется действительный сертификат: при обращении по HTTPS браузер сначала выполняет TLS-рукопожатие и лишь затем получает инструкцию о перенаправлении. Перенаправление не устраняет несоответствие сертификата.

Подстановочный знак охватывает только указанный уровень, а не все дерево доменов

*.example.com соответствует именам en.example.com, de.example.com и www.example.com, но не охватывает example.com и shop.en.example.com.

В некоторые сертификаты с подстановочным знаком также включен основной домен, но это определяется настройками доменов при выдаче сертификата, а не является свойством подстановочного знака по умолчанию. Проверьте список альтернативных имен субъекта (SAN), а не ориентируйтесь только на слово «подстановочный» в названии продукта.

Если сайт использует en.example.com, а интернет-магазин — shop.en.example.com, сертификат должен охватывать оба уровня. Для небольшого числа фиксированных адресов магазинов достаточно добавить полные имена хостов — покупать сертификат с подстановочным знаком для каждого уровня не требуется.

Список языковых версий фиксирован или будет постоянно расширяться?

Если поддоменов всего несколько и их список не меняется, можно добавить основной домен, www и языковые поддомены в один сертификат для нескольких доменов. В нем допустимые имена хостов перечисляются в SAN. Границы покрытия четко определены, но при добавлении языковой версии необходимо обновить список доменов, повторно выпустить и установить сертификат.

Если языковые версии будут постоянно добавляться и все они находятся на одном уровне доменов, сертификат с подстановочным знаком упростит обслуживание. При добавлении es.example.com повторно выпускать сертификат для этого имени не потребуется, если DNS, настройки сайта и установка сертификата выполнены правильно. Однако сертификат с подстановочным знаком не создает поддомен автоматически и не включает HTTPS для нового сайта.

Если для разных языков используются отдельные домены, например example.de и example.fr, сертификат *.example.com их не охватывает. В этом случае можно использовать сертификат для нескольких доменов или выпускать отдельный сертификат для каждого сайта. Выбор следует делать с учетом места установки и ответственности за обслуживание, а не только стремиться сократить количество сертификатов.

Перед покупкой уточните, предоставляет ли платформа сертификаты

Платформа для создания сайтов или CDN могут уже поддерживать автоматическую выдачу и продление сертификатов. Если услуга охватывает все языковые поддомены, покупать дополнительный сертификат может быть не нужно; некоторые платформы также не разрешают устанавливать самостоятельно приобретенные сертификаты. Сначала уточните, какие домены поддерживаются, есть ли поддержка подстановочных сертификатов и входит ли обслуживание сертификатов в текущий тариф.

При использовании CDN необходимо различать два соединения: от браузера до CDN и от CDN до исходного сервера. Действительный сертификат на узле CDN не означает, что сертификат исходного сервера также настроен правильно. Тип сертификата на исходном сервере должен соответствовать требованиям CDN к шифрованию и проверке сертификатов. Сертификат исходного сервера, предназначенный только для соединения от CDN, нельзя использовать в качестве общедоступного сертификата, которому доверяет браузер.

Если языковые версии размещены на разных серверах, использование общего сертификата с подстановочным знаком означает необходимость распространять соответствующий закрытый ключ. Утечка закрытого ключа в одном месте может затронуть другие сайты, использующие тот же ключ. Для сайтов, которыми управляют разные команды или поставщики услуг, отдельные сертификаты обеспечивают лучшую изоляцию рисков и упрощают координацию продления между командами.

Не путайте уровень проверки с областью покрытия

DV, OV и EV обозначают способы проверки личности, а сертификаты для одного домена, нескольких доменов и с подстановочным знаком — способы охвата доменов. Это два разных параметра. Покупка сертификата OV автоматически не увеличивает число языковых поддоменов, которые можно защитить; при одинаковых настройках TLS нельзя также судить о надежности шифрования только по уровню проверки.

Если требуется лишь обеспечить работу языковых версий по HTTPS, для базовых потребностей достаточно сертификата DV, которому доверяют браузеры и который соответствует домену. Решение об использовании OV или EV следует принимать с учетом требований к проверке личности компании, условий договора или внутренних правил, а не исходя из того, что сайт ориентирован на зарубежные рынки.

Бесплатные сертификаты также подходят для HTTPS, но для них необходимо обеспечить надежное продление. Например, для выдачи сертификата с подстановочным знаком Let’s Encrypt требуется проверка через DNS. Чтобы продлевать его автоматически, убедитесь, что DNS-сервис поддерживает соответствующую автоматизацию, и надлежащим образом ограничьте права доступа для учетных данных DNS API.

Приемку после запуска проводите отдельно для каждого адреса

Перед заказом сертификата или включением сертификата платформы проверьте фактический список имен хостов, область покрытия SAN, место установки и ответственность за продление. Недостаточно просто убедиться, что «SSL поддерживается»: необходимо четко определить, кто отвечает за устранение ошибок выдачи, предупреждения об истечении срока действия и повторную установку сертификата.

После запуска поочередно откройте основной домен, www и все языковые поддомены. Проверьте соответствие доменов, цепочку сертификатов и перенаправления на HTTPS, а также убедитесь, что на страницах не осталось ресурсов, загружаемых по HTTP. Отсутствие предупреждения о сертификате еще не означает, что страница полностью и безопасно загружается по HTTPS.

Для структуры «основной домен и языковые поддомены одного уровня» удобным вариантом с точки зрения дальнейшего расширения будет сертификат с подстановочным знаком, включающий основной домен. Для небольшого числа фиксированных сайтов или сайтов, размещенных в разных местах, лучше могут подойти сертификат для нескольких доменов или отдельные сертификаты. Покупку следует совершать после проверки списка доменов и условий развертывания, а не сначала приобретать сертификат и затем перестраивать сайт под него.