¿Debería cada servicio que se ejecuta en un dominio tener un certificado separado?

"La complejidad es el enemigo de la seguridad"

Siempre buscaría utilizar la menor cantidad posible de certificados por varias razones, principalmente debido a la facilidad de administración. Según tengo entendido, letsencrypt actualmente no permite certificados de comodín (estos certificados esencialmente le permiten asegurar todos los subdominios de un dominio donde los certificados tradicionales solo permiten una URL específica (es decir, secure.domain.com)).

Ahora, con eso dicho, los certificados de comodines tienen una prima y pueden ser bastante costosos, especialmente si los usa simplemente para uso personal. En ese caso, es posible que deba ingresar varios certificados y exponerlos a través de puertos no estándar, como lo describió, sin embargo, en un entorno profesional, me gustaría utilizar certificados de comodín simplemente por la facilidad de administración. Cuanto más fácil sea la administración, menos probabilidades tendrá de perder algo / arruinar una configuración que reduce su imagen de vector de ataque.

Depende de múltiples factores, estrategia de gestión de certificados, políticas, etc.

Para aplicaciones web de propósito general, usaría un solo certificado por máquina si usen nombres diferentes. Puede ejecutar certificados separados por servicio, pero esto aumentará los esfuerzos administrativos en la administración de certificados. Si elige un certificado único para todas las aplicaciones, aumenta las posibilidades de romperlas en el caso de que se produzca un error en el certificado (una especie de punto único de error). Creo que, menos certezas tienes, menos problemas tienes.