SSL certificaten, multi-domain, hoe werkt het?

[Anoniem: 298643]

Goedemorgen,

Ik zit met het volgende probleem, een "grote" klant van ons neemt al tijden websites bij ons af. Deze partij wilt ten alle tijden, SSL certificaten op hun website. Onze hosting partij, waar wij onze dedicated server hebben, begint te klagen over de IP adressen die wij afnemen, logischerwijs. Zeker door het IPv4 probleem moeten we er voor kunnen zorgen dat we minder IP adressen gaan verbruiken.

Nu heb ik zelf al vaker van Multi-domain SSL's gehoord en het lijkt mij een prima manier om je websites te beveiligen. Momenteel geeft onze klant hun IT afdeling aan dat deze voor security redenen niet gebruikt mogen worden. Daarom moeten we elke keer een SSL certificaat bij hun afnemen per website, waardoor we ook per website een uniek IP adres nodig hebben.

Nu heb ik zelf ook nog even verder zitten spitten naar informatie van Multi-domain SSL's (UCC?) en ik begrijp nu ook dat deze werken voor een "primair"-domein en de alternatieve domeinnamen voor het primaire. Dit zou ook uit te lezen zijn aan het certificaat. Dit is niet onze bedoeling, wij hebben meerdere websites van onze klant gehost staan, maar hun hoofd-website staat niet bij ons. Daardoor kunnen we niet echt een "primair"-domein kiezen voor ons multi-domain SSL certificaat.

Ik heb onderhand dit bovenstaande ook weer terug gecommuniceerd naar onze hosting partij en zij vermelden mij het volgende: "Nee, een multi-level is een certificaat voor alle domeinen van 1 klant". Dus hij suggereert dat dit wel zou moeten kunnen, zonder een primair-domeinnaam.

Aangezien onze hosting partij het blijkbaar te druk heeft om verdere informatie te verschaffen, wil ik graag hier bij Tweakers wat meer informatie vragen. Hebben jullie enig idee hoe ik dit probleem het best op kan lossen?

Alvast vriendelijk bedankt.

[Wolfboy]

Zoek eens naar een wildcard certificaat

Daarmee kan je opeens een volledig domein toevoegen (iig voor HTTPS doeleinden).

[Anoniem: 298643]

Hallo Wolfboy, bedankt voor je reactie.

Dat is toch alleen voor subdomeinen?

[Wolfboy]

Jup, ik dacht dat je dat ook bedoelde

Overigens is het principe voor multi-domain certificaten hetzelfde als voor multi-subdomains. Meerdere namen als CommonName opnemen en het moet werken, maar dat moet wel aangeboden worden door je SSL provider. Al zit je dan inderdaad (ik lees je bericht nu pas echt goed... meer koffie nodig) wel aan 1 primair domein met de rest als extra opties. Iedereen krijgt hetzelfde certificaat terug van de server.

De 2e optie is misschien meer geschikt voor jullie, namelijk Server Name Indication. Hiermee kan je webserver specifiek voor het gevraagde domein het goede certificaat leveren. Let er wel op dat IE dit pas vanaf versie 7 ondersteund (in combinatie met Windows Vista of nieuwer).

[DiedX]

Zover ik weet wil je nog geen multi-domein certificaten, omdat de meeste browsers het nog niet goed ondersteunen. IE9 en Fx wel, maar niet iedereen gebruikt IE9.

In die vorm zou ik de klant toch adviseren om te lappen voor de adressen die ze afnemen, en de hostingpartij kan piepen, maar ze voldoen toch echt aan RIPE-voorwaarden.

[RobIII]

Wolfboy schreef op dinsdag 27 september 2011 @ 10:48:
...

^ Dat.

Daarbij vind ik jullie hosting partij een stel zeuren; ik heb toch heel wat IP'tjes bij onze partij en daar komen er met regelmaat nog wel blokjes van 8 of 32 of groter bij en nog nooit hebben ze daarover gemopperd (zolang we betalen )

[ Voor 20% gewijzigd door RobIII op 27-09-2011 10:51 ]

[Bigs]

SNI is op dit moment praktisch onbruikbaar omdat het grootste deel van de op dit moment gebruikte browsers er niet mee overweg kan. Overigens ben ik het met RobIII eens; het gebruik van SSL is een geldige reden voor het opslokken van veel IP's aangezien er niet echt alternatieven zijn.

[Anoniem: 298643]

Hm... Klinkt allemaal wel logisch inderdaad. Nu komt het mij ook wat logischer over waarom onze klant geen multi-domein SSL wilt, zeker hun doelgroep gebruikt nog veel lage versies van IE.

Helaas zit ik nu met een hosting partij die zegt dat we teveel IP adressen willen hebben. Als ik dat zo hoor van jou RobIII, dan mag onze partij nog niet echt klagen...

Bedankt voor jullie informatie, ik ga weer wat IP adressen aanvragen.

[ Voor 5% gewijzigd door Anoniem: 298643 op 27-09-2011 15:16 ]

[Wolfboy]

Bigs schreef op dinsdag 27 september 2011 @ 10:56:
SNI is op dit moment praktisch onbruikbaar omdat het grootste deel van de op dit moment gebruikte browsers er niet mee overweg kan. Overigens ben ik het met RobIII eens; het gebruik van SSL is een geldige reden voor het opslokken van veel IP's aangezien er niet echt alternatieven zijn.

offtopic:
Mwah... IE7 en hoger met Vista of hoger, dat is toch echt niet meer het grootste deel van de browsers hoor

Ik geef toe dat XP nog een groot deel van de markt is, maar zeker niet het grootste.