Como ya sabrá, Let's Encrypt no ofrece certificados comodín y no lo hará a corto plazo, ya que solo puede solicitar tantos certificados como desee para los subdominios.
Esto me hace preguntarme ... suponiendo que el dinero no es un problema para poder solicitar todos los certificados que quiero (aunque conozco los límites de las tarifas), ¿existe alguna ventaja de usar un certificado comodín en vez de solicitar un certificado por subdominio?
Para los sitios web que generan subdominios dinámicamente (por ejemplo, si los usuarios pueden crear su propio subdominio para algún servicio), instalar un certificado para cada nuevo subdominio es lejos de lo ideal, porque debe verificar el propiedad del dominio para cada subdominio, seguida de la instalación del certificado para cada subdominio (que normalmente también requiere un reinicio del servidor web).
Además de activar nuevos subdominios, la gestión de muchos certificados (cada uno con su propia fecha de vencimiento) se convierte rápidamente en un problema importante. En definitiva, esto constituye una mayor complejidad a costa de ninguna seguridad adicional.
Entonces, en resumen, la ventaja de un certificado de comodín reside en la menor carga administrativa.
El punto adicional a considerar es que todos los certificados emitidos por Let's Encrypt (y por otros emisores) se pueden ver en Transparencia del certificado registros, por lo que si emite certificados sin utilizar comodines, todos sus subdominios pueden ser enumerados fácilmente por cualquier persona.
No siempre es un problema, pero en algunos casos puede facilitar la vida del atacante. Por ejemplo, puede ayudarlo a descubrir algunos servicios ocultos, como repositorio, servidor de compilación, etc.
crt.sh es un ejemplo del sitio que proporciona estos registros.
Lea otras preguntas en las etiquetas certificates letsencrypt