Un certificado es tan bueno como quien valida cree que es. Un certificado es bueno para SSL siempre que los clientes SSL (por ejemplo, navegadores web o clientes VPN) lo acepten como bueno. Hagas lo que hagas, los clientes existentes liderarán el baile.
Se describe un certificado de "comodín" en RFC 2818 , sección 3.1:
Los nombres pueden contener el comodín
carácter * que se considera que coincide con cualquier nombre de dominio único
Componente o fragmento de componente. Por ejemplo, .a.com coincide con foo.a.com pero
No es bar.foo.a.com. f .com coincide con foo.com pero no con bar.com.
Este es el único lugar donde el carácter " * " tiene un significado especial. Esto significa que su certificado de comodín es "un certificado de comodín" solo en el contexto de un servidor HTTPS: en ese contexto, el cliente requerirá que el nombre del servidor deseado (el de la URL) coincida con el nombre en el certificado; El "comodín" es un tipo de combinación de todos. Por lo tanto, los clientes aceptarán su certificado como un certificado para los servidores foo.domain.com, bar.domain.com, qux.domain.com ... y así sucesivamente.
Tenga en cuenta que algunos otros protocolos han adoptado más o menos las mismas reglas de coincidencia de nombres; p.ej. un certificado para un servidor IMAPS también deberá contener el nombre del servidor (es decir, el nombre que esperan los clientes). Además, tenga en cuenta que el soporte completo para comodines es una especie de rareza (los clientes que aceptan considerar *fo*.domain.com como coincidir con foo.domain.com no son legión).
Esto es completamente ortogonal a la cuestión de la emisión de certificados secundarios. Un certificado que se acepta como emisor para otro certificado se denomina CA certificate y el sello distintivo de un certificado de CA es que contiene una extensión de Restricciones básicas con el indicador cA establecido en TRUE ( consulte RFC 5280 , sección 4.2.1.9). Ningún cliente aceptará un certificado emitido por su certificado de "comodín" a menos que tenga esta bandera; y la presencia o ausencia de un carácter " * " en el nombre es totalmente irrelevante aquí.
Como nota al margen, me parece un poco dudosa la idea de "asegurar todo" copiando el mismo certificado y la clave privada en muchas máquinas. Cuanto más copia una clave privada, menos secreto se vuelve. La criptografía asimétrica fue diseñada para evitar copiar claves secretas. El paradigma de certificado normal es que cada entidad en una red debe tener su propia clave privada, en lugar de compartir la misma clave privada entre los hosts.