¿Qué es un certificado wildcard?

What is a Wildcard SSL Certificate? A wildcard certificate is a type of SSL/TLS certificate that can be used to secure multiple domains (hosts), indicated by a wildcard character (*) in the domain name field.

Esto puede ser útil si tiene muchos dominios o subdominios que necesita proteger, ya que puede ahorrarle tiempo y dinero. En este artículo hablaremos de los certificados comodín, de cómo funcionan y de por qué deberías evitar utilizarlos en tu organización.

Comprender los certificados comodín

A wildcard SSL certificate is a digital certificate that can be used with multiple domain subdomains. Wildcard certificates are generally used in organizations with many subdomains. Wildcard certificates are valid for a primary domain and all its first-level subdomains.

For example, a wildcard certificate for *.example.com could be used for www.example.com, mail.example.com, store.example.com, or any other sub domain name in the example.com.

Los certificados comodín son más caros que los certificados estándar SSL/TLS porque son certificados multidominio con la misma raíz registrada. Esto hace que sean fáciles de suministrar y administrar, en lugar de utilizar varios certificados para cada dominio y subdominio. Sin embargo, esta flexibilidad conlleva ciertos riesgos operativos y de seguridad:

• Key compromise: if the certificate’s private key is compromised, an attacker can impersonate any domain under that wildcard certificate. Cybercriminals use certificates to host malicious websites for phishing campaigns.
• Operational burden: Oftentimes, teams don’t remember all the places they installed a wildcard certificate, making it difficult to keep track and manage effectively at scale.
• Downtime and outages: When it comes time for renewal, they need to renew and provision the certificate to all locations at the same time (i.e., using SSL certificates for each server vs. one for all reduces the blast radius of outages and breaches caused by private key compromise).

Cómo obtener un certificado comodín

Los certificados comodín pueden adquirirse en cualquier autoridad de certificación (CA). Al solicitar un certificado comodín, debe especificar el nombre del dominio principal (por ejemplo, ejemplo.com) y los subdominios (por ejemplo, *.ejemplo.com). La CA generará entonces un certificado que podrá utilizarse para proteger todos los subdominios del dominio especificado.

Ventajas de los certificados comodín

Utilizar un certificado comodín para su sitio web tiene algunas ventajas:

• Ahorre tiempo y dinero: Si tiene muchos dominios o subdominios, puede ser más eficaz y rentable utilizar un único certificado comodín en lugar de varios certificados estándar.
• Mayor flexibilidad: Los certificados Wildcard ofrecen más flexibilidad que los certificados estándar, ya que pueden utilizarse para proteger varios subdominios. Esto puede ser útil si necesitas añadir o eliminar subdominios en el futuro.

Inconvenientes del uso de certificados comodín

Cuando se trata de certificados comodín, los riesgos suelen ser mayores que las ventajas, especialmente si su organización no dispone de las herramientas y procesos adecuados para gestionar los certificados:

• Creates security risks: The main drawback of wildcard certificates is that they can actually create more risk than security. Wildcard certificates use a single shared private key for all subdomains. So, if one subdomain is compromised, all other subdomains on the same certificate are also vulnerable.
• Dificultad de seguimiento: La aparente facilidad de uso de los certificados comodín puede ser engañosa. Aunque es fácil de distribuir, hacer un seguimiento de un único certificado comodín SSL en docenas, incluso cientos, de servidores puede ser igual de complicado, sobre todo cuando caduca en todas las ubicaciones al mismo tiempo.

Lecciones aprendidas: Interrupción de un certificado comodín

In May of 2018, Epic Games, the developer behind popular video games like Fortnite and Rocket League experienced a widespread outage that left millions of players unable to login and disconnected. The cause of the outage? An expired wildcard SSL certificate. 

El certificado en cuestión estaba instalado en cientos de servicios de producción diferentes en AWS y, por ello, el impacto fue generalizado. Muchos jugadores se sintieron frustrados y enfadados, y acudieron a las redes sociales para expresar su descontento.

Este incidente pone de manifiesto uno de los posibles inconvenientes de los certificados comodín. Dado que los certificados comodín protegen varios subdominios con un único certificado, un certificado caducado puede causar interrupciones generalizadas. 

If you’re using a wildcard certificate, keep track of the expiration date and renew it promptly to avoid any potential problems. Epic Games spent five and half hours to fully recover from the incident. Incredibly, they shared the details of their experience as a lesson to industry peers and worked to resolve the issue quickly.

Certificados comodín: Un atajo, no una solución

Los certificados comodín son, en la mayoría de los casos, un atajo más que una solución. Si el proceso de renovación, aprovisionamiento e instalación de certificados es manual y requiere mucho tiempo, la salida fácil es reducir el número de certificados que hay que gestionar. Tiene sentido, ¿verdad? No siempre.

Si tiene un gran número de sitios web alojados en una pequeña infraestructura, puede tener sentido, pero necesita tener controles estrictos sobre cómo se distribuye y gestiona ese certificado comodín en todos esos sistemas.

In development and testing environments, you may need to create temporary subdomains. Rather than going through the hassle (and expense) of creating and securing individual certificates for those subdomains, you can simply create a wildcard certificate and add the temporary subdomains to it as needed.

Sin embargo, en la mayoría de los casos, deben evitarse los certificados comodín. Si simplemente está intentando ahorrar tiempo y dinero o utilizar un certificado comodín como solución provisional, sólo está abordando un síntoma, no el problema de fondo. Con la supervisión y la automatización adecuadas, se pueden aliviar las molestias de la gestión de certificados, al tiempo que se evitan los riesgos inherentes a los certificados comodín.

Expiración y renovación de certificados

Como todos los certificados digitales, los certificados comodín SSL tienen una fecha de caducidad y necesitan una gestión de certificados. Cuando un certificado caduca, debe renovarse y sustituirse en todas las ubicaciones. Si un certificado no se renueva, el sitio o sitios web que protege dejarán de ser accesibles a través de HTTPS y mostrarán un mensaje de error a los visitantes.

Al renovar un certificado comodín SSL , debe generar una nueva solicitud de firma de certificado (CSR) y enviarla a su autoridad de certificación (CA). Asegúrese de especificar que está renovando un certificado comodín, ya que esto se tendrá en cuenta cuando la CA genere su nuevo certificado.

Gestión del ciclo de vida de los certificados

Una vez que tenga su certificado comodín SSL , deberá instalarlo en su servidor web (o en varios servidores) y configurarlo correctamente. A continuación, debe supervisar el certificado con regularidad para asegurarse de que sigue siendo válido y está actualizado. Este proceso se conoce como gestión del ciclo de vida del certificado.

Automatización del ciclo de vida de los certificados

Many businesses automate the certificate lifecycle to simplify managing wildcard SSL certificates. This can be done with a solution like Keyfactor Command, which automates all aspects of SSL/TLS certificate management, from enrollment and installation to monitoring and renewal. This process is known as certificate lifecycle automation.

Conclusión

En resumen: los certificados comodín pueden ser útiles en determinadas situaciones, pero en general deben evitarse. Si adquieres un certificado comodín, es esencial que la clave privada se genere y almacene de forma segura y que tengas visibilidad de cada ubicación en la que esté instalado el certificado para asegurarte de que se renueva y sustituye antes de que caduque.