Qu'est-ce qu'un certificat Wildcard ?

What is a Wildcard SSL Certificate? A wildcard certificate is a type of SSL/TLS certificate that can be used to secure multiple domains (hosts), indicated by a wildcard character (*) in the domain name field.

Cela peut être utile si vous avez beaucoup de domaines ou de sous-domaines à sécuriser, car cela peut vous faire gagner du temps et de l'argent. Cet article traite des certificats génériques, de leur fonctionnement et des raisons pour lesquelles vous devriez éviter de les utiliser dans votre entreprise.

Comprendre les certificats génériques

A wildcard SSL certificate is a digital certificate that can be used with multiple domain subdomains. Wildcard certificates are generally used in organizations with many subdomains. Wildcard certificates are valid for a primary domain and all its first-level subdomains.

For example, a wildcard certificate for *.example.com could be used for www.example.com, mail.example.com, store.example.com, or any other sub domain name in the example.com.

Les certificats Wildcard sont plus chers que les certificats standard SSL/TLS parce qu'il s'agit de certificats multi-domaines avec la même racine enregistrée. Ils sont donc faciles à provisionner et à administrer, plutôt que d'utiliser plusieurs certificats pour chaque domaine et sous-domaine. Toutefois, cette flexibilité s'accompagne de certains risques opérationnels et de sécurité, notamment :

• Key compromise: if the certificate’s private key is compromised, an attacker can impersonate any domain under that wildcard certificate. Cybercriminals use certificates to host malicious websites for phishing campaigns.
• Operational burden: Oftentimes, teams don’t remember all the places they installed a wildcard certificate, making it difficult to keep track and manage effectively at scale.
• Downtime and outages: When it comes time for renewal, they need to renew and provision the certificate to all locations at the same time (i.e., using SSL certificates for each server vs. one for all reduces the blast radius of outages and breaches caused by private key compromise).

Comment obtenir un certificat Wildcard

Les certificats Wildcard peuvent être achetés auprès de n'importe quelle autorité de certification (AC). Lors de la commande d'un certificat Wildcard, vous devez spécifier le nom du domaine principal (par exemple, example.com) et les sous-domaines (par exemple, *.example.com). L'autorité de certification génère alors un certificat qui peut être utilisé pour sécuriser tous les sous-domaines du domaine spécifié.

Avantages des certificats génériques

L'utilisation d'un certificat Wildcard pour votre site web présente certains avantages :

• Gagner du temps et de l'argent : Si vous avez de nombreux domaines ou sous-domaines, il peut être plus efficace et plus rentable d'utiliser un seul certificat Wildcard au lieu de plusieurs certificats standard.
• Flexibilité accrue : Les certificats Wildcard offrent plus de souplesse que les certificats standard, car ils peuvent être utilisés pour sécuriser plusieurs sous-domaines. Cela peut s'avérer utile si vous devez ajouter ou supprimer des sous-domaines à l'avenir.

Inconvénients de l'utilisation de certificats génériques

Lorsqu'il s'agit de certificats "wildcard", les risques l'emportent généralement sur les avantages, en particulier si votre organisation ne dispose pas des outils et des processus appropriés pour gérer les certificats :

• Creates security risks: The main drawback of wildcard certificates is that they can actually create more risk than security. Wildcard certificates use a single shared private key for all subdomains. So, if one subdomain is compromised, all other subdomains on the same certificate are also vulnerable.
• Difficile à suivre : La facilité d'utilisation apparente des certificats Wildcard peut être trompeuse. S'il est facile à distribuer, le suivi d'un seul certificat Wildcard SSL sur des dizaines, voire des centaines de serveurs peut s'avérer tout aussi difficile, en particulier lorsqu'il expire en même temps sur tous les sites.

Leçons apprises : Une panne de certificat Wildcard

In May of 2018, Epic Games, the developer behind popular video games like Fortnite and Rocket League experienced a widespread outage that left millions of players unable to login and disconnected. The cause of the outage? An expired wildcard SSL certificate. 

Le certificat en question était installé sur des centaines de services de production différents dans AWS, ce qui a eu un impact considérable. De nombreux joueurs se sont retrouvés frustrés et en colère, se rendant sur les médias sociaux pour exprimer leur mécontentement.

Cet incident met en évidence l'un des inconvénients potentiels des certificats "wildcard". Étant donné que les certificats Wildcard sécurisent plusieurs sous-domaines à l'aide d'un seul certificat, un certificat expiré peut entraîner des perturbations généralisées. 

If you’re using a wildcard certificate, keep track of the expiration date and renew it promptly to avoid any potential problems. Epic Games spent five and half hours to fully recover from the incident. Incredibly, they shared the details of their experience as a lesson to industry peers and worked to resolve the issue quickly.

Certificats Wildcard : Un raccourci, pas une solution

Les certificats Wildcard sont, dans la plupart des cas, un raccourci plutôt qu'une solution. Si le processus de renouvellement, de provisionnement et d'installation des certificats est manuel et prend du temps, la solution de facilité consiste à réduire le nombre de certificats à gérer. C'est logique, non ? Pas toujours.

Si vous avez un grand nombre de sites web hébergés sur un petit nombre d'infrastructures, cela peut se justifier, mais vous devez avoir des contrôles stricts sur la manière dont ce certificat wildcard est distribué et géré sur l'ensemble de ces systèmes.

In development and testing environments, you may need to create temporary subdomains. Rather than going through the hassle (and expense) of creating and securing individual certificates for those subdomains, you can simply create a wildcard certificate and add the temporary subdomains to it as needed.

Toutefois, dans la plupart des cas, les certificats "wildcard" sont à éviter. Si vous essayez simplement d'économiser du temps et de l'argent ou d'utiliser un certificat Wildcard comme solution provisoire, vous ne vous attaquez qu'à un symptôme et non à la racine du problème. Avec une surveillance et une automatisation adéquates, les difficultés liées à la gestion des certificats peuvent être atténuées, tout en évitant les risques inhérents aux certificats génériques.

Expiration et renouvellement du certificat

Comme tous les certificats numériques, les certificats Wildcard SSL ont une date d'expiration et doivent être gérés. Lorsqu'un certificat expire, il doit être renouvelé et remplacé à tous les endroits. Si un certificat n'est pas renouvelé, le(s) site(s) web qu'il sécurise ne sera(ont) plus accessible(s) via HTTPS et affichera(ont) un message d'erreur aux visiteurs.

Lors du renouvellement d'un certificat Wildcard SSL , vous devez générer une nouvelle demande de signature de certificat (CSR) et la soumettre à votre autorité de certification (CA). Veillez à préciser que vous renouvelez un certificat Wildcard, car l'autorité de certification en tiendra compte lors de la création du nouveau certificat.

Gestion du cycle de vie des certificats

Une fois que vous avez obtenu votre certificat Wildcard SSL , vous devez l'installer sur votre serveur web (ou sur plusieurs serveurs) et le configurer correctement. Ensuite, vous devez contrôler régulièrement le certificat pour vous assurer qu'il est toujours valide et à jour. Ce processus est connu sous le nom de gestion du cycle de vie des certificats.

Automatisation du cycle de vie des certificats

Many businesses automate the certificate lifecycle to simplify managing wildcard SSL certificates. This can be done with a solution like Keyfactor Command, which automates all aspects of SSL/TLS certificate management, from enrollment and installation to monitoring and renewal. This process is known as certificate lifecycle automation.

Conclusion

En résumé, les certificats "wildcard" peuvent être utiles dans certaines situations, mais ils sont généralement à éviter. Si vous achetez un certificat "wildcard", il est essentiel que la clé privée soit générée et stockée en toute sécurité et que vous ayez une visibilité sur chaque endroit où le certificat est installé afin de vous assurer qu'il est renouvelé et remplacé avant son expiration.