Cosa è il SAN in un certificato SSL
Il Subject Alternative Name, abbreviato in SAN, è un campo del certificato X.509 che consente di proteggere più nomi di dominio con un singolo certificato. Nato come estensione per superare il limite del campo Common Name (CN), che accettava un solo hostname, oggi è lo standard de facto: tutti i browser moderni leggono i SAN e ignorano il CN se non corrisponde.
Come funziona tecnicamente
Il SAN è un'estensione X.509 v3 che contiene una lista di identificatori. Ogni voce può essere un DNS name (es. www.esempio.it), un'IP address, un'URI o una email. Quando il browser apre una connessione TLS verso un'hostname, confronta il dominio richiesto con la lista SAN del certificato presentato dal server. Se trova una corrispondenza, anche tramite wildcard, la connessione procede senza errori.
Un certificato SAN tipico contiene tra 2 e 100 nomi. Il limite massimo dipende dalla Certification Authority: Let's Encrypt accetta fino a 100 SAN, le CA commerciali spesso si fermano a 250.
Differenza tra SAN, Multidomain e Wildcard
- SAN: il termine tecnico per il campo X.509 che contiene gli hostname aggiuntivi
- Multidomain SSL: il nome commerciale di un certificato che sfrutta i SAN per coprire più domini distinti (es. esempio.it, esempio.com, altrosito.org)
- Wildcard: un certificato che usa l'asterisco per coprire tutti i sottodomini di un dominio (es. *.esempio.it copre www, mail, blog)
Un certificato può combinare entrambi gli approcci: SAN con voci wildcard per coprire scenari ibridi.
Casi d'uso tipici
I certificati con SAN sono utili quando un'organizzazione gestisce più brand o varianti di dominio. Esempi pratici:
- Stesso sito su .it, .com e .eu
- Versione www e non-www nello stesso certificato (oggi automatica nei DV)
- Sottodomini specifici non coperti da wildcard (api.esempio.it, cdn.esempio.it)
- Microservizi e ambienti staging
- Servizi Microsoft Exchange che richiedono autodiscover, mail, ews su un'unico cert
Creare una CSR con SAN
Per richiedere un certificato SAN serve una Certificate Signing Request che dichiari i nomi aggiuntivi. Con OpenSSL si usa un file di configurazione che include la sezione [ alt_names ]:
DNS.1 = esempio.it
DNS.2 = www.esempio.it
DNS.3 = api.esempio.it
La CSR viene poi inviata alla CA con i nomi richiesti. La CA verificherà il controllo del richiedente su ciascun dominio prima di emettere.
Limiti e considerazioni
Modificare l'elenco dei SAN dopo l'emissione comporta la riemissione del certificato. Pianifica l'elenco con cura: aggiungere un dominio a metà ciclo significa rigenerare la chiave o almeno aggiornare la catena. Verifica anche che il software server (Nginx, Apache, IIS) carichi correttamente il certificato e che la chain intermedia sia completa, perché alcuni client legacy non gestiscono bene SAN molto lunghi.
Hai bisogno di aiuto?
Se vuoi gestione SSL dal team di G Tech Group, scrivici tramite il modulo di contatto.