Certyfikat wildcard SSL: certyfikat SSL wildcard dla subdomen

Certyfikat wildcard co to jest

Certyfikat wildcard to zwykły certyfikat TLS z jedną różnicą: w polu nazwy domeny zamiast konkretnej subdomeny stoi gwiazdka. Zamiast wystawiać osobny plik dla sklep.firma.pl, drugi dla panel.firma.pl i trzeci dla api.firma.pl, wystawiasz jeden na *.firma.pl i on pasuje do każdej nazwy w tym miejscu.

Praktyczna konsekwencja jest taka, że nie musisz znać subdomen z góry. Jeżeli jutro uruchomisz demo.firma.pl, ten sam certyfikat obsłuży ją bez żadnej dodatkowej czynności. To jedyna przewaga wildcarda, która ma realną wartość, i warto o niej pamiętać, bo cała reszta argumentów sprzedażowych rozpada się przy pierwszym sprawdzeniu.

Gwiazdka podlega przy tym twardej regule: musi być pierwszym członem nazwy i zastępuje dokładnie jeden poziom. Nazwy w rodzaju firma.*.pl albo *.*.firma.pl nie istnieją, żaden urząd certyfikacji ich nie wystawi.

Certyfikat SSL wildcard a zwykły certyfikat i certyfikat SAN

Na rynku funkcjonują trzy warianty i sprzedawcy chętnie mieszają je w jednym cenniku. Różnica sprowadza się do tego, ile nazw obejmuje jeden plik i czy trzeba je wskazać z góry.

Czego certyfikat wildcard nie obejmuje, choć cennik sugeruje inaczej

To najczęstsze źródło reklamacji po zakupie. Opis produktu mówi „wszystkie subdomeny”, klient rozumie to dosłownie, a potem dostaje ostrzeżenie przeglądarki na adresie, który wydawał się objęty.

• Domena główna nie jest objęta automatycznie. Certyfikat *.firma.pl nie pasuje do firma.pl. Poważni wystawcy dokładają domenę bazową jako dodatkową nazwę w certyfikacie, ale trzeba to sprawdzić, a nie założyć.
• Subdomeny drugiego poziomu są poza zakresem. *.firma.pl obejmie api.firma.pl, ale nie api.test.firma.pl. Żeby objąć drugi poziom, potrzebujesz drugiego wildcarda na *.test.firma.pl.
• Inne domeny są poza zakresem. Wildcard działa w obrębie jednej domeny. Jeżeli masz firma.pl i firma.com, potrzebujesz dwóch certyfikatów albo certyfikatu SAN.
• Poczta i inne usługi wymagają zgodnej nazwy. Wildcard obsłuży mail.firma.pl, ale tylko wtedy, gdy serwer poczty faktycznie przedstawia się tą nazwą, a klient poczty łączy się dokładnie z nią.

Certyfikat wildcard cena: ile realnie kosztuje

Na rynku komercyjnym wildcard jest najdroższym wariantem w cenniku, bo z założenia zastępuje kilka osobnych certyfikatów i tak jest wyceniany. Jednocześnie od 2018 roku Let's Encrypt wystawia certyfikaty wildcard bezpłatnie, a przeglądarka pokazuje przy nich dokładnie taką samą kłódkę, bo szyfrowanie jest identyczne. Za wyższą cenę kupujesz weryfikację firmy przez wystawcę i gwarancję finansową, a nie mocniejsze zabezpieczenie transmisji.

Dlatego pytanie „ile kosztuje certyfikat wildcard” warto odwrócić: w jakiej sytuacji dopłata za wildcard w ogóle się zwraca. Dla typowej firmy z trzema stałymi subdomenami odpowiedź brzmi: w żadnej, bo trzy zwykłe certyfikaty DV kosztują 0 zł i odnawiają się same. Pełne zestawienie stawek u polskich dostawców, razem z cenami odnowień, zebraliśmy na stronie certyfikat SSL cena.

Kiedy certyfikat wildcard ma sens, a kiedy przepłacasz

Powiemy to wprost, mimo że sami dajemy wildcard w cenie planu: większość firm, które o niego pytają, wcale go nie potrzebuje. Kupują go z przyzwyczajenia albo dlatego, że tak podpowiedział poprzedni dostawca. Poniżej cztery typowe sytuacje i uczciwa odpowiedź na każdą.

• Masz stronę i www. Wildcard jest zbędny. Zwykły certyfikat DV obejmuje obie nazwy i kosztuje 0 zł.
• Masz trzy albo cztery stałe subdomeny. Wildcard nadal jest zbędny. Trzy osobne certyfikaty DV kosztują 0 zł, odnawiają się automatycznie i mają osobne klucze, co jest bezpieczniejsze.
• Subdomeny powstają automatycznie. Tu wildcard jest jedynym sensownym rozwiązaniem. Jeżeli każdy klient dostaje konto pod adresem klient1.firma.pl zakładanym przy rejestracji, nie da się wystawiać certyfikatu ręcznie dla każdej nowej nazwy.
• Wildcard komercyjny wymusza umowa, przetarg albo audyt. To jedyny przypadek, w którym kwota rzędu kilkuset złotych rocznie ma uzasadnienie, i uzasadnieniem jest wtedy dokument, a nie technika.

Jak wystawić certyfikat wildcard: weryfikacja DNS-01 krok po kroku

Wildcard różni się od zwykłego certyfikatu jednym istotnym szczegółem technicznym: nie da się go potwierdzić plikiem wgranym na serwer. Ponieważ certyfikat ma objąć nazwy, które jeszcze nie istnieją, wystawca musi sprawdzić, że kontrolujesz całą strefę DNS domeny. Let's Encrypt wymaga tu wyłącznie metody DNS-01, co potwierdza w swojej dokumentacji.

• Krok 1. Sprawdź, gdzie realnie stoi strefa DNS domeny. Nie tam, gdzie kupiłeś domenę, tylko tam, gdzie faktycznie obsługiwane są rekordy. To najczęstsza przyczyna nieudanych prób.
• Krok 2. Zamów certyfikat na dwie nazwy naraz, *.firma.pl oraz firma.pl, żeby domena bazowa też była objęta.
• Krok 3. Dodaj rekord TXT o nazwie _acme-challenge.firma.pl z wartością podaną przez wystawcę. Przy dwóch nazwach w jednym certyfikacie pojawią się zwykle dwa osobne wpisy pod tą samą nazwą i oba muszą być widoczne jednocześnie.
• Krok 4. Poczekaj na propagację. Weryfikacja czyta rekord z serwerów DNS, więc wysoki TTL potrafi opóźnić ją o godziny. Przed wystawieniem warto obniżyć TTL, tak samo jak przy migracji strony na inny hosting.
• Krok 5. Zautomatyzuj odnawianie. Przy 90-dniowej ważności ręczne powtarzanie tej procedury cztery razy w roku kończy się prędzej czy później wygaśnięciem certyfikatu. Klient ACME musi mieć dostęp do API operatora DNS.

Nowe okresy ważności: wildcard bez automatyzacji przestaje być realny

To zmiana, o której polski rynek hostingowy praktycznie milczy, a dla posiadaczy wildcarda ma większe znaczenie niż dla kogokolwiek innego. Uchwałą SC-081v3 z kwietnia 2025 roku CA/Browser Forum, czyli organizacja skupiająca urzędy certyfikacji i producentów przeglądarek, zdecydowało o stopniowym skracaniu maksymalnej ważności certyfikatów. Uchwałę przyjęto 29 głosami za, przy braku głosów przeciw, z poparciem Apple, Google, Mozilli i Microsoftu.

Dla wildcarda to ma bezpośrednie skutki finansowe i organizacyjne. Jeżeli dziś płacisz za komercyjny wildcard i odnawiasz go ręcznie raz w roku, w 2029 roku ta sama czynność będzie wypadała blisko ośmiu razy w roku, za każdym razem z ponowną weryfikacją DNS. Ręczna obsługa przestaje mieć sens ekonomiczny, a wygasły certyfikat wildcard wyłącza naraz wszystkie subdomeny, nie jedną stronę.

Ryzyko wildcarda, o którym sprzedawcy nie mówią

Wildcard ma wadę, której nie znajdziesz w opisie produktu: wszystkie subdomeny współdzielą jeden klucz prywatny. Jeżeli serwer obsługujący jedną mało istotną subdomenę zostanie przejęty, atakujący dostaje klucz, którym może podszyć się pod każdą nazwę objętą certyfikatem, łącznie z panelem logowania i sklepem.

Przy osobnych certyfikatach dla każdej subdomeny takie zdarzenie ogranicza się do jednej nazwy. Dlatego w firmach, w których subdomeny stoją na różnych serwerach albo część z nich obsługuje zewnętrzna agencja, osobne certyfikaty DV są nie tylko tańsze, ale po prostu bezpieczniejsze. Wildcard warto trzymać tam, gdzie wszystkie subdomeny są pod jedną kontrolą i na jednej infrastrukturze.

Druga konsekwencja jest operacyjna: unieważnienie certyfikatu wildcard po incydencie unieważnia go dla wszystkich subdomen naraz. Wymiana musi objąć każdy serwer, który go używa, w jednym oknie czasowym. Przy zabezpieczaniu strony WordPress ten scenariusz warto przemyśleć zawczasu.

Limity Let's Encrypt, które trzeba znać przed automatyzacją

Bezpłatny wildcard nie ma opłat, ale ma limity techniczne. Warto je znać, zanim skrypt odnawiający zacznie ponawiać nieudaną próbę w pętli i zablokuje wystawianie na tydzień. Poniższe wartości pochodzą z aktualnej dokumentacji Let's Encrypt.

• 50 certyfikatów na zarejestrowaną domenę w ciągu 7 dni. Dla jednej firmy z wildcardem to limit nieosiągalny, ale agencja obsługująca wiele subdomen klienta może o niego zahaczyć.
• 5 certyfikatów o identycznym zestawie nazw w ciągu 7 dni. To ten limit wyczerpują skrypty ponawiające odnowienie po każdym błędzie.
• 5 nieudanych weryfikacji na nazwę w ciągu godziny dla jednego konta. Przy DNS-01 najczęściej wyczerpuje go źle propagowany rekord TXT.
• 300 nowych zamówień na konto w ciągu 3 godzin oraz 10 kont z jednego adresu IP w ciągu 3 godzin.