Certificaatdomein

Certificaatdomein is een term die in PKI- en certificaatbeheer wordt gebruikt om het domein- of trustgebied aan te duiden waarvoor een digitale certificaat geldt. In dit verband verwijst het meestal naar de domeinnamen die in een certificaat zijn opgenomen of naar de scope van vertrouwen die aan een certificaatuitgever (CA) of een groep certificaten wordt toegekend. Het certificaatdomein bepaalt welk domein of welke diensten met dat certificaat kunnen worden geverifieerd.

In de praktijk is het certificaatdomein vooral zichtbaar bij TLS-certificaten. De domeinnamen die een certificaat dekking geven, staan in het Subject en vooral in de Subject Alternative Name (SAN)-extensie. De Common Name (CN) is een verouderde aanduiding en SAN heeft tegenwoordig de voorkeur. Een certificaat kan bijvoorbeeld DNS-namen bevatten zoals www.voorbeeld.nl en api.voorbeeld.nl, en zelfs wildcard-domeinen zoals *.voorbeeld.nl die meerdere subdomeinen dekken. Een client controleert bij het verbinden met een host of de bezochte domeinnaam overeenkomt met een van de SAN-namen in het certificaat. Als dat niet het geval is, kan de verbinding als onveilig worden gemarkeerd.

Certificaatdomein omvat ook het beheeraspect: per domein worden certificaten uitgegeven, vernieuwd en ingetrokken (revoked) volgens beleidslijnen en trust anchors. Organisaties kunnen meerdere certificaatdomeinen hanteren om verschillende policies, afdelingen of beveiligingsniveaus te scheiden, bijvoorbeeld een intern certificaatdomein versus een publiek certificaatdomein.

Zie ook: PKI, X.509, TLS, SAN, CN.

---