¿Qué es un certificado comodín?

¿Qué es un certificado comodín SSL ? Un certificado comodín es un tipo de certificado SSL/TLS que puede utilizarse para proteger varios dominios (hosts), indicados mediante un carácter comodín (*) en el campo del nombre de dominio.

Esto puede ser útil si tiene muchos dominios o subdominios que necesita proteger, ya que puede ahorrarle tiempo y dinero. En este artículo hablaremos de los certificados comodín, de cómo funcionan y de por qué deberías evitar utilizarlos en tu organización.

Un certificado comodín SSL es un certificado digital que puede utilizarse con múltiples subdominios de dominio. Los certificados comodín se utilizan generalmente en organizaciones con muchos subdominios. Los certificados comodín son válidos para un dominio principal y todos sus subdominios de primer nivel.

Por ejemplo, un certificado comodín para *.ejemplo.com podría utilizarse para www.example.commail.example.com, store.example.com o cualquier otro subdominio de example.com.

Los certificados comodín son más caros que los certificados estándar SSL/TLS porque son certificados multidominio con la misma raíz registrada. Esto hace que sean fáciles de suministrar y administrar, en lugar de utilizar varios certificados para cada dominio y subdominio. Sin embargo, esta flexibilidad conlleva ciertos riesgos operativos y de seguridad:

• Compromiso de la clave: Si la clave privada del certificado está comprometida, un atacante puede suplantar cualquier dominio bajo ese certificado comodín. Los ciberdelincuentes utilizan los certificados para alojar sitios web maliciosos en campañas de phishing.
• Carga operativa: A menudo, los equipos no recuerdan todos los lugares en los que instalaron un certificado comodín, lo que dificulta el seguimiento y la gestión eficaz a escala.
• Tiempos de inactividad e interrupciones: Cuando llega el momento de la renovación, tienen que renovar y aprovisionar el certificado a todas las ubicaciones al mismo tiempo (es decir, utilizar certificados de SSL para cada servidor frente a uno para todos reduce el radio de explosión de las interrupciones y brechas causadas por el compromiso de la clave privada).

Los certificados comodín pueden adquirirse en cualquier autoridad de certificación (CA). Al solicitar un certificado comodín, debe especificar el nombre del dominio principal (por ejemplo, ejemplo.com) y los subdominios (por ejemplo, *.ejemplo.com). La CA generará entonces un certificado que podrá utilizarse para proteger todos los subdominios del dominio especificado.

Utilizar un certificado comodín para su sitio web tiene algunas ventajas:

• Ahorre tiempo y dinero: Si tiene muchos dominios o subdominios, puede ser más eficaz y rentable utilizar un único certificado comodín en lugar de varios certificados estándar.
• Mayor flexibilidad: Los certificados Wildcard ofrecen más flexibilidad que los certificados estándar, ya que pueden utilizarse para proteger varios subdominios. Esto puede ser útil si necesitas añadir o eliminar subdominios en el futuro.

Cuando se trata de certificados comodín, los riesgos suelen ser mayores que las ventajas, especialmente si su organización no dispone de las herramientas y procesos adecuados para gestionar los certificados:

• Crea riesgos de seguridad: El principal inconveniente de los certificados comodín es que pueden crear más riesgos que seguridad. Los certificados comodín utilizan una única clave privada compartida para todos los subdominios. Por lo tanto, si un subdominio se ve comprometido, todos los demás subdominios del mismo certificado también son vulnerables.
• Dificultad de seguimiento: La aparente facilidad de uso de los certificados comodín puede ser engañosa. Aunque es fácil de distribuir, hacer un seguimiento de un único certificado comodín SSL en docenas, incluso cientos, de servidores puede ser igual de complicado, sobre todo cuando caduca en todas las ubicaciones al mismo tiempo.

En mayo de 2018, Epic Games, el desarrollador detrás de videojuegos populares como Fortnite y Rocket League experimentó un apagón generalizado que dejó a millones de jugadores sin poder iniciar sesión y desconectados. La causa del apagón? Un certificado comodín SSL caducado.

El certificado en cuestión estaba instalado en cientos de servicios de producción diferentes en AWS y, por ello, el impacto fue generalizado. Muchos jugadores se sintieron frustrados y enfadados, y acudieron a las redes sociales para expresar su descontento.

Este incidente pone de manifiesto uno de los posibles inconvenientes de los certificados comodín. Dado que los certificados comodín protegen varios subdominios con un único certificado, un certificado caducado puede causar interrupciones generalizadas. 

Si utiliza un certificado comodín, no pierda de vista la fecha de caducidad y renuévelo con prontitud para evitar posibles problemas. Epic Games tardó cinco horas y media en recuperarse por completo del incidente. Por increíble que parezca compartieron los detalles de su experiencia como lección para los compañeros de la industria y trabajaron para resolver el problema rápidamente.

Los certificados comodín son, en la mayoría de los casos, un atajo más que una solución. Si el proceso de renovación, aprovisionamiento e instalación de certificados es manual y requiere mucho tiempo, la salida fácil es reducir el número de certificados que hay que gestionar. Tiene sentido, ¿verdad? No siempre.

Si tiene un gran número de sitios web alojados en una pequeña infraestructura, puede tener sentido, pero necesita tener controles estrictos sobre cómo se distribuye y gestiona ese certificado comodín en todos esos sistemas.

En entornos de desarrollo y pruebas, es posible que necesite crear subdominios temporales. En lugar de pasar por la molestia (y el gasto) de crear y asegurar certificados individuales para esos subdominios, puede simplemente crear un certificado comodín y añadir los subdominios temporales según sea necesario.

Sin embargo, en la mayoría de los casos, deben evitarse los certificados comodín. Si simplemente está intentando ahorrar tiempo y dinero o utilizar un certificado comodín como solución provisional, sólo está abordando un síntoma, no el problema de fondo. Con la supervisión y la automatización adecuadas, se pueden aliviar las molestias de la gestión de certificados, al tiempo que se evitan los riesgos inherentes a los certificados comodín.

Como todos los certificados digitales, los certificados comodín SSL tienen una fecha de caducidad y necesitan una gestión de certificados. Cuando un certificado caduca, debe renovarse y sustituirse en todas las ubicaciones. Si un certificado no se renueva, el sitio o sitios web que protege dejarán de ser accesibles a través de HTTPS y mostrarán un mensaje de error a los visitantes.

Al renovar un certificado comodín SSL , debe generar una nueva solicitud de firma de certificado (CSR) y enviarla a su autoridad de certificación (CA). Asegúrese de especificar que está renovando un certificado comodín, ya que esto se tendrá en cuenta cuando la CA genere su nuevo certificado.

Una vez que tenga su certificado comodín SSL , deberá instalarlo en su servidor web (o en varios servidores) y configurarlo correctamente. A continuación, debe supervisar el certificado con regularidad para asegurarse de que sigue siendo válido y está actualizado. Este proceso se conoce como gestión del ciclo de vida del certificado.

Muchas empresas automatizan el ciclo de vida de los certificados para simplificar su gestión. certificados comodín SSL . Esto puede hacerse con una solución como Keyfactor Commandque automatiza todos los aspectos de la gestión de certificados de SSL/TLS , desde la inscripción y la instalación hasta la supervisión y la renovación. Este proceso se conoce como automatización del ciclo de vida de los certificados.

En resumen: los certificados comodín pueden ser útiles en determinadas situaciones, pero en general deben evitarse. Si adquieres un certificado comodín, es esencial que la clave privada se genere y almacene de forma segura y que tengas visibilidad de cada ubicación en la que esté instalado el certificado para asegurarte de que se renueva y sustituye antes de que caduque.