O que são Subject Alternative Names (SAN's)?

Subject Alternative Names, ou simplesmente SAN, é um recurso de certificados digitais que permite que um único certificado - não necessariamente wildcard - proteja múltiplos domínios e subdomínios.

SAN's permitem que o emissor do certificado especifique uma lista de domínios e subdomínios a serem protegidos, eles podem ser subdomínios de qualquer nível e domínios (e subdomínios) distintos (incluindo as SANs de Unified Communications Support - clique aqui para saber mais).

Cada certificado SSL permite até 100 SAN's, ou seja, cada certificado pode ser usado para proteger até 100 domínios/subdomínios.

Este recurso está disponível no padrão de certificados X509 desde 1999, mas infelizmente ainda é pouco explorado.

Quais as vantagens de se usar Subject Alternative Names (SANs)?

• Proteger múltiplos domínios com um único certificado SSL

  Com um único certificado wildcard podemos proteger todos os subdomínios de primeiro nível de um determinado domínio, como *.rnp.br. (entenda mais sobre certificados wildcard clicando aqui)
  No entanto, o certificado wildcard não nos permite proteger múltiplos domínios como www.rnp.br e www.eduroam.br, certificados com SAN nos permite isso.
  
  

• Proteger vários níveis de um mesmo domínio com um único certificado SSL

  Certificados wildcard protegem apenas subdomínios de primeiro nível de um determinado domínio, e consequentemente são necessários mais de 1 certificado wildcard para proteção de diferentes níveis de subdomínios, certificados com SAN nos permite fazer isso em um único certificado (ex. www.rnp.br e www.mail.rnp.br). (entenda mais sobre certificados wildcard clicando aqui)
  
  

• Elimina o risco de compartilhar a mesma chave privada em diferentes servidores

  Com certificados wildcard, quando utilizamos mais de um servidor para hospedar diversos subdomínios, normalmente instalamos o mesmo certificado em vários servidores e consequentemente a chave privada deste certificado é compartilhada por todos eles, isso acaba aumentando os riscos de segurança deste modelo de uso de certificados wildcard.
  Substituir o uso de certificados wildcard por certificados com SAN's elimina este risco pois podemos emitir certificados distintos para os vários servidores com os domínios específicos de cada servidor no seu respectivo certificado, assim eliminando a necessidade de compartilhamento de chave privada entre os servidores e diminuindo consideravelmente os riscos de segurança a que são expostos os sites que tem sua infra com este modelo. (entenda mais sobre certificados wildcard clicando aqui)

Como emitir certificados usando Subject Alternative Names (SANs)?

Para emitir certificados com SAN basta realizar o procedimento padrão para emissão de certificados marcando "Yes" em "Add specific Subject Alternative Names".

Clique aqui para ter acesso ao tutorial completo de emissão de certificados com SAN.