Multi-Domain SSL (SAN SSL) là gì? Khi nào nên dùng?

Multi-Domain SSL (SAN SSL) là chứng chỉ SSL cho phép bảo mật nhiều domain và subdomain khác nhau chỉ với một certificate duy nhất. Tìm hiểu cách hoạt động, ưu nhược điểm và khi nào nên dùng SAN SSL.

Multi-Domain SSL (SAN SSL) là gì?

Multi-Domain SSL, còn gọi là SAN SSL (Subject Alternative Name SSL), là loại certificate cho phép bảo mật nhiều domain hoặc subdomain khác nhau bằng một SSL certificate duy nhất.

Ví dụ:

example.com
www.example.com
api.example.net
shop.example.org
mail.company.com

Khác với Wildcard SSL chỉ bảo vệ subdomain trong cùng một domain, SAN SSL có thể bảo vệ nhiều domain hoàn toàn khác nhau.

SAN (Subject Alternative Name) là gì?

SAN là extension trong certificate cho phép thêm nhiều hostname hoặc domain ngoài domain chính.

Ví dụ:

CN = example.com

SAN:
- www.example.com
- api.example.net
- shop.example.org

Browser sẽ xem toàn bộ SAN entries là hợp lệ nếu certificate hợp lệ.

SAN SSL hoạt động như thế nào?

Thay vì tạo nhiều certificate riêng cho từng domain:

• example.com
• example.net
• company.org

bạn có thể gom tất cả vào một SAN SSL certificate.

Điều này giúp:

• giảm số lượng cert cần quản lý
• đơn giản hóa renewal
• centralized certificate management
• dễ quản lý enterprise infrastructure hơn

Khi nào nên dùng SAN SSL?

1. Doanh nghiệp có nhiều website

Ví dụ:

company.com
company.net
company.org

Thay vì quản lý nhiều SSL riêng lẻ, SAN SSL giúp quản lý tập trung dễ hơn.

2. Mail server / Microsoft Exchange

Đây là use case SAN SSL cực phổ biến.

Ví dụ:

mail.company.com
autodiscover.company.com
owa.company.com
smtp.company.com

3. Enterprise infrastructure

Nhiều enterprise có:

• portal.company.com
• api.company.com
• vpn.company.com
• login.company.com

SAN SSL giúp lifecycle management dễ hơn rất nhiều.

 

4. Multi-brand hoặc multi-country website

Ví dụ:

brand-a.com
brand-b.com
brand-c.vn

SAN SSL vs Wildcard SSL

Đây là phần rất nhiều doanh nghiệp nhầm.

Tiêu chí	SAN SSL	Wildcard SSL
Multi-domain	Có	Không
Subdomain	Có	Có
Dynamic subdomain	Không tối ưu	Tốt
SaaS scale	Trung bình	Tốt
Enterprise multi-site	Rất tốt	Không phù hợp
Rủi ro private key	Thấp hơn	Cao hơn

 

SAN SSL có bảo vệ subdomain không?

Có.

Ví dụ:

example.com
www.example.com
api.example.com

Tuy nhiên:

• từng subdomain phải khai báo explicit
• không auto cover như wildcard

SAN SSL có giới hạn số domain không?

Có.

Tùy CA:

• 5 SAN
• 10 SAN
• 25 SAN
• hoặc nhiều hơn

Enterprise certificate thường hỗ trợ số lượng SAN lớn hơn nhưng chi phí cũng tăng theo.

SAN SSL có an toàn không?

Có.

SAN SSL vẫn dùng:

• TLS encryption
• cipher suite hiện đại
• certificate validation tiêu chuẩn

Thực tế nhiều enterprise thích SAN SSL hơn wildcard vì:

• dễ audit
• segmentation rõ hơn
• giảm blast radius

Rủi ro của SAN SSL

1. Certificate complexity tăng

Khi SAN entries nhiều:

• renewal phức tạp hơn
• validation nhiều hơn
• dễ quên domain cũ

2. Certificate size lớn hơn

SAN nhiều --> certificate lớn hơn --> TLS handshake lớn hơn một chút.

Trong đa số trường hợp:

• impact rất nhỏ
• gần như không đáng kể

3. Reissue phức tạp hơn

Nếu một SAN thay đổi:

• thường phải reissue toàn bộ cert

Đây là lý do nhiều hệ thống lớn tách cert theo service.

SAN SSL và SEO

Không ảnh hưởng trực tiếp SEO.

Google không ưu tiên:

• SAN SSL
• Wildcard SSL
• DV SSL
• OV SSL

SEO phụ thuộc nhiều hơn vào:

• HTTPS hợp lệ
• performance
• Core Web Vitals
• security

SAN SSL và TLS 1.3

SAN SSL hoàn toàn hỗ trợ:

• TLS 1.2
• TLS 1.3
• HTTP/2
• HTTP/3

Nếu cấu hình đúng:

• performance gần như tương đương SSL thường

Ví dụ cấu hình SAN SSL trên NGINX

server {
    listen 443 ssl http2;

    server_name
        example.com
        www.example.com
        api.example.net;

    ssl_certificate /etc/ssl/fullchain.pem;
    ssl_certificate_key /etc/ssl/private.key;
}

Ví dụ cấu hình SAN SSL trên Apache

<VirtualHost *:443>

    ServerName example.com
    ServerAlias www.example.com api.example.net

    SSLEngine on

    SSLCertificateFile /path/fullchain.pem
    SSLCertificateKeyFile /path/private.key

</VirtualHost>

Những lỗi phổ biến khi dùng SAN SSL

1. Quên SAN khi reissue

Ví dụ:

• cert cũ có 10 SAN
• cert mới chỉ còn 9

--> domain còn thiếu sẽ báo lỗi SSL.

2. Dùng SAN SSL cho SaaS dynamic

Ví dụ:

tenant1.example.com
tenant2.example.com
tenant3.example.com

SAN SSL không tối ưu cho case này.

Wildcard SSL phù hợp hơn.

3. Certificate lifecycle management phức tạp

Enterprise có thể có:

• hàng trăm SAN
• nhiều renewal schedule
• nhiều team quản lý

Nếu inventory không tốt rất dễ lỗi.

Khi nào nên chọn SAN SSL thay vì Wildcard SSL?

Chọn SAN SSL nếu:

• nhiều domain khác nhau
• cần audit rõ ràng
• enterprise governance
• security segmentation tốt hơn

Chọn Wildcard SSL nếu:

• nhiều subdomain động
• SaaS multi-tenant
• automation mạnh
• DevOps-heavy infrastructure

Kết luận

Multi-Domain SSL (SAN SSL) là giải pháp mạnh cho hệ thống cần bảo mật nhiều domain và subdomain khác nhau bằng một certificate duy nhất.

Đặc biệt phù hợp với:

• enterprise infrastructure
• mail server
• multi-brand website
• centralized certificate management

Tuy nhiên khi số lượng SAN lớn, certificate lifecycle management sẽ phức tạp hơn và cần inventory quản lý tốt.