單域名證書的應用理由

單域名證書的安全性優於多域名證書與通配符證書

多域名證書（又稱 UCC 或 SAN 證書）和通配符證書與單域名證書相比，會引入大量新增風險，放大內部攻擊、竊聽攻擊和仿冒攻擊的影響範圍。

如果多域名或通配符證書的密鑰以任何形式泄露，該證書覆蓋的所有域名、子域名和會話的安全都可能受到牽連。舉例來說，企業內某個關聯域名的離職心懷不滿的網絡管理員或開發人員如果獲取了密鑰，就能訪問被管理的所有應用或域名，對企業旗下多個域名造成全局性損害。

尤其是通配符 SSL/TLS 證書，很容易被用於偽造證書的騙局。如果網絡罪犯為虛假公司獲取了一張通配符證書，就可以利用該證書建立大量子域名和釣魚網站，仿冒真實網站。此前出現的仿冒 Equifax 網站事件就屬於這類情況，該仿冒網站吸引了數十萬訪客「使用了與真實網站同類型的 SSL/TLS 證書」。

單域名 SSL/TLS 證書更易於管理和自動化

即便通配符或多域名證書未發生實際泄露事件，其管理負擔也高於單域名證書。例如，若一張通配符證書保護着 100 台伺服器，當其中 3 台伺服器被攻陷時，企業必須重新為全部 100 台伺服器配置安全防護，而非僅處理涉事的 3 台。同理，這 100 台伺服器的證書會在同一天到期，會引發集中的運維工作高峰。

此外，每當多域名證書和通配符證書需要吊銷、替換時，證書包含的密鑰必須被複製到多台伺服器，部署到網絡中的各個位置，這類額外工作負擔沉重，且工作量會快速累積。

自動化證書生命週期管理（CLM）可確保證書精準部署到應在的位置，並在到期前完成替換。部署單域名證書並配套證書生命週期管理（CLM）系統後，IT 負責人可以輕鬆完成所有不同域名、子域名證書的頒發、續期、治理、管理和自動化操作，無需手動為每張證書重複錄入相同資訊。企業還可以跨所有網站實現密鑰輪換及其他網站安全措施的自動化，確保證書始終處於最新狀態，符合法規要求與行業最佳實踐。

單域名證書具備成本效益

單域名證書與多域名、通配符證書的成本對比並不像表面看起來那麼簡單。由於在相同場景下，單域名證書的所需數量比多域名或通配符證書更多，表面上看單域名 SSL/TLS 證書的採購成本似乎更高。

但需要考慮的是，證書頒發機構（CA）通常會提供批量折扣優惠，降低企業的資金投入。這類成本降低讓單域名證書對原本可能選擇多域名或通配符證書的企業具備了更強的吸引力。在這些優惠政策下，許多企業會發現單域名證書的整體價值比最初預估的更優。

在決定部署單域名、多域名還是通配符證書時，必須審慎評估哪種方案風險最低、管理與自動化流程最簡潔、成本價值比最優。對於希望實現最佳安全性、管理效率和價值回報的企業而言，選擇十分明確：單域名證書。

此外，透過部署支援多CA的CLM平台（例如 Sectigo Certificate Manager (SCM)），企業可以透過統一的中央平台實現對所有數碼證書的完整可視化與管控。

了解更多此處提供Sectigo單域名SSL證書，或收聽《根源剖析》第110期：單域名、多域名與通配符SSL證書以獲取更多資訊。