Wildcard SSL là gì và khi nào doanh nghiệp cần dùng

Một chứng chỉ GoGetSSL Wildcard tại BizMaC phủ được toàn bộ subdomain của một tên miền với giá 1.700.000đ/năm, trong khi mua bốn chứng chỉ DV riêng lẻ (200.000đ mỗi cái) chỉ tốn 800.000đ. Điểm hoà vốn của Wildcard SSL nằm quanh 8–9 subdomain. Dưới mốc đó, chứng chỉ dạng này đang trả tiền cho phạm vi chưa dùng tới.

Wildcard SSL là gì

Wildcard SSL là một chứng chỉ duy nhất phủ được tên miền gốc và mọi subdomain cấp một của nó, ký hiệu bằng dấu sao trước tên miền: *.tencongty.com. Thay vì cấp riêng cho shop.tencongty.com, mail.tencongty.com, api.tencongty.com, một chứng chỉ dạng này bật HTTPS cho tất cả cùng lúc, dùng chung một cặp khoá mã hoá.

Khác với chứng chỉ chuẩn chỉ khớp đúng một tên miền hoặc một subdomain cụ thể, nó khớp theo mẫu. Trình duyệt kiểm tra tên miền trong thanh địa chỉ có nằm trong mẫu *.tencongty.com hay không, khớp thì hiển thị khoá bảo mật, không khớp thì báo lỗi chứng chỉ như bình thường.

Dấu sao trong *.tencongty.com phủ tới cấp nào

Dấu sao chỉ phủ đúng một cấp subdomain ngay trước tên miền gốc, không lan xuống các cấp sâu hơn. *.tencongty.com bảo vệ được shop.tencongty.com và mail.tencongty.com, nhưng KHÔNG bảo vệ a.b.tencongty.com vì đó là subdomain hai cấp.

Đây là điểm nhầm phổ biến nhất khi mua chứng chỉ dạng này. Theo CA/Browser Forum, quy chuẩn phát hành chứng chỉ công khai quy định rõ ký tự đại diện chỉ khớp một nhãn (label) DNS duy nhất, không được khớp xuyên qua dấu chấm phân cách cấp. Doanh nghiệp có cấu trúc subdomain nhiều tầng kiểu vn.api.tencongty.com cần chứng chỉ riêng cho cấp đó hoặc đổi cấu trúc URL, mua thêm cũng không giải quyết được.

Tên miền gốc tencongty.com (không có subdomain) cũng không tự động được phủ trên một số hệ thống cũ. Gói GoGetSSL Wildcard và RapidSSL Wildcard tại BizMaC đều gồm cả tên miền gốc lẫn subdomain cấp một trong phạm vi cấp phát, nên không phải mua thêm chứng chỉ riêng cho domain trần.

Mua 1 Wildcard SSL hay nhiều chứng chỉ đơn lẻ, cách nào rẻ hơn

Điểm hoà vốn giữa hai cách mua nằm ở khoảng 8–9 subdomain, tính theo giá niêm yết của BizMaC. GoGetSSL Wildcard giá 1.700.000đ/năm, còn chứng chỉ DV đơn lẻ rẻ nhất (GoGetSSL Domain) giá 200.000đ/năm mỗi cái. Chia ra, 1.700.000 chia 200.000 xấp xỉ 8,5, tức từ subdomain thứ 9 trở đi, gộp vào một chứng chỉ phủ rộng mới bắt đầu rẻ hơn cộng dồn.

Bảng dưới đặt các mốc số lượng subdomain cạnh chi phí hai hướng mua, cùng lấy giá GoGetSSL Domain 200.000đ/năm làm đơn giá chứng chỉ đơn lẻ để so sánh đúng một hệ quy chiếu.

Ngoài chi phí niêm yết, mua nhiều chứng chỉ đơn lẻ còn kéo theo chi phí ẩn: mỗi chứng chỉ có ngày hết hạn riêng, mỗi lần thêm subdomain mới lại phải đặt mua và cài đặt thêm một lần. Gộp về một chứng chỉ duy nhất giúp việc gia hạn và quản lý về một đầu mối, giá trị thực tế cao hơn con số hoà vốn thuần tuý ở doanh nghiệp có nhiều subdomain phát sinh thường xuyên.

Khi nào không cần mua Wildcard SSL

Doanh nghiệp chỉ có 2–3 subdomain cố định, ít khi tạo thêm, thì mua chứng chỉ DV đơn lẻ cho từng subdomain rẻ hơn và đơn giản hơn. Website công ty dùng đúng www.tencongty.com và mail.tencongty.com là ví dụ điển hình: hai chứng chỉ GoGetSSL Domain giá 400.000đ/năm, chưa bằng một phần tư giá gói phủ rộng.

Nó cũng không phải lựa chọn hợp lý khi số subdomain chưa xác định rõ, hoặc khi hệ thống chỉ có một tên miền chính không có kế hoạch mở thêm subdomain. Trường hợp này một chứng chỉ RapidSSL Standard giá 350.000đ/năm là đủ, phần chênh lệch bỏ ra thêm không đổi lại lợi ích thực tế nào.

Rủi ro của Wildcard SSL nằm ở đâu

Rủi ro lớn nhất là dùng chung một private key cho tất cả subdomain: lộ khoá riêng ở một máy chủ là lộ khả năng giả mạo HTTPS cho toàn bộ subdomain khác, không riêng máy chủ bị xâm nhập. Đây là đánh đổi trực tiếp của việc gộp nhiều tên miền vào một chứng chỉ.

Với chứng chỉ đơn lẻ, mỗi subdomain có khoá riêng nên sự cố ở một máy chủ chỉ ảnh hưởng đúng subdomain đó. Với chứng chỉ dùng chung, khoá riêng thường được đặt ở máy chủ trung tâm hoặc load balancer, nơi mọi subdomain cùng dùng để giải mã kết nối. Máy chủ nào lưu khoá riêng đó cần kiểm soát truy cập chặt, giới hạn số người có quyền đọc file khoá, và bật giám sát log truy cập vào thư mục chứa chứng chỉ.

Một hướng giảm rủi ro là tách subdomain quan trọng (trang thanh toán, hệ thống nội bộ) ra một chứng chỉ riêng thay vì gộp chung với các subdomain phụ như blog hoặc trang giới thiệu sản phẩm. Cách này giữ được phần lớn lợi ích chi phí của giải pháp phủ rộng mà không đặt toàn bộ hệ thống vào một điểm lộ khoá duy nhất.

Cài đặt cần chuẩn bị gì

Cài chứng chỉ phủ subdomain cần xác minh quyền sở hữu tên miền qua bản ghi DNS TXT trước khi tổ chức phát hành cấp chứng chỉ, khác với chứng chỉ đơn lẻ có thể xác minh qua file trên web server. Vì phạm vi phủ cả tên miền gốc lẫn mọi subdomain, tổ chức phát hành bắt buộc xác minh ở cấp DNS thay vì cấp thư mục website.

Sau khi có bản ghi TXT xác minh và chứng chỉ được cấp, nó cần cài đặt trên từng máy chủ chạy subdomain tương ứng, hoặc trên load balancer đứng trước nhiều máy chủ. BizMaC hỗ trợ cài đặt và bật HTTPS cho khách mua chứng chỉ qua đối tác GoGetSSL, thuộc DigiCert, không phải tự dò tài liệu kỹ thuật một mình.

Bản ghi TXT xác minh nằm ở cùng nơi quản lý các bản ghi khác của tên miền, nên trước khi đặt mua nên kiểm tra quyền chỉnh sửa DNS còn hiệu lực trong dịch vụ quản lý tên miền đang dùng.

Nên mua loại nào

Đếm số subdomain thật sự cần HTTPS trước khi quyết định, đừng chọn Wildcard SSL chỉ vì nghe có vẻ an toàn hơn. Dưới 8 subdomain và ít phát sinh mới, chứng chỉ đơn lẻ từ 200.000đ/năm vẫn là lựa chọn kinh tế. Từ khoảng 9 subdomain trở lên, hoặc khi doanh nghiệp thường xuyên mở thêm subdomain cho dự án mới, gói phủ rộng bắt đầu tiết kiệm cả chi phí lẫn công quản lý.

Riêng subdomain xử lý dữ liệu nhạy cảm như thanh toán hoặc đăng nhập nội bộ, cân nhắc giữ chứng chỉ riêng thay vì gộp chung, đổi lấy việc giới hạn phạm vi ảnh hưởng nếu private key bị lộ. Xem đầy đủ bốn mức chứng chỉ SSL tại BizMaC để so sánh giá và phạm vi trước khi chọn.