UCC ou WildCard SSL?

Question

Queremos proteger os seguintes domínios em um único servidor (1IP) com vários hosts virtuais:

secure.ourapp.com (VHOST1)
www.ourapp.com/login (VHOST2)
www.ourapp.com/signup (VHOST2)

Depois de ler muito no serverfault e on-line, descobri que temos duas opções para rolar.

No GoDaddy, encontrei as duas opções a seguir:

Single Domain with Unlimited Subdomains (Wildcard): €153.87
Multiple Domains (UCC): €69.23

Alguém pode nos aconselhar sobre qual certificado será o mais adequado? Estamos procurando uma solução que seja fácil de manter / implementar e que assegure a configuração da URL acima em um único servidor.

A compatibilidade do navegador é importante para nós. O IE6 também deve ser protegido por SSL.

    

Answer 1

Com um IP, você terá suporte limitado, independentemente. O SNI , que permite o VirtualHost com SSL, é suportado apenas em navegadores modernos.

Compatibilidade SNI

• Firefox 2 e superior.
• Opera 8 e acima.
• IE 7 e acima. (Vista e para cima)

Se você deseja compatibilidade consistente com o IE para sua conexão SSL sem erros, você precisará ter vários IPs.

Se você está certo de que vai ficar com a lista de nomes de host que você identificou por pelo menos um ano, eu iria com o UCC porque é mais barato. Se você antecipar a necessidade de lançar mais vhosts SSL mais tarde em nomes de host no mesmo domínio, o ROI estará com o certificado curinga, pois você não precisaria comprar um novo certificado.

O UCC e o caractere curinga serão implementados da mesma maneira e a manutenção não será variável.

    

Answer 2

Se você tiver apenas um endereço IP e estiver usando VHOSTs, eu optaria pelo certificado curinga, pois o Apache só permite um certificado por IP estático. Há um passo a passo sobre como configurar o Apache dessa forma aqui

    

Answer 3

Eu recomendo que você Certificado SSL Wildcard para proteger seu domínio mais o subdomínio.

    

Answer 4

Não sei por que as pessoas falam sobre SNI e vários IPs aqui. Um certificado curinga é UM certifikate e um certificado UCC / SAN também é UM certificado único. Portanto, nenhuma configuração VHOST baseada em SNI ou IP é necessária aqui. Vá para o certificado curinga se achar que haverá mais subdomínios SSL no futuro.

O caminho mais barato seria uma regra de reescrita como:

<Location /login>
    RewriteEngine on
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}/login [R]
</Location>

<Location /signup>
    RewriteEngine on
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}/signup [R]
</Location>

e recodifique o aplicativo para permitir que esses URLs sejam executados na Diretiva SSL. Então você só precisa de um certificado SSL simples.

    

Answer 5

Você não precisa de vários endereços IP e não precisa usar o SNI (que ainda não é totalmente suportado). A melhor (e mais barata) opção para o seu site é usar um curinga ou um certificado UCC. O certificado UCC será sua opção mais barata se você precisar apenas de 2 nomes de host (secure.ourapp.com e www.ourapp.com). Depois de instalar o certificado, você precisará ativá-lo para ambos os VirtualHosts usando as informações na parte inferior desta página: link

Você não precisa se preocupar com a compatibilidade do navegador. Contanto que você compre de um provedor confiável como o GoDaddy, todos os certificados serão compatíveis.