SANcertificaat

Een SANcertificaat, ook wel een Subject Alternative Name-certificaat genoemd, is een TLS/SSL-certificaat waarin naast de belangrijkste identiteit nog meerdere aanvullende identiteiten zijn opgenomen. Deze identiteiten worden vastgelegd in de Subject Alternative Name (SAN) extension van het X.509-certificaat, en kunnen bestaan uit DNS-namen, IP-adressen, URIs of e-mailadressen. Het doel is om met één certificaat meerdere domeinen of hostnamen te beveiligen.

SAN-certificaten worden veel gebruikt wanneer een organisatie meerdere domeinen of subdomeinen onder één certificaat wil beheren, zoals example.com, shop.example.org en blog.example.net, of wanneer wildcard-subjecten nodig zijn. In vergelijking met traditionele certificaten die slechts één domein via de Common Name (CN) beveiligen, kunnen SAN-certificaten meerdere identiteiten vertegenwoordigen, wat beheer vereenvoudigt en kosten kan besparen.

Veel moderne clients controleren tijdens de TLS-handdruk uitsluitend de SAN-velden; de CN wordt nog wel getoond maar telt niet mee voor identiteit validatie. De SAN-extension maakt deel uit van X.509v3 en is vastgelegd in RFC 5280. Een SAN-certificaat kan verschillende typen SAN-entries bevatten, zoals DNSName, IPAddress, RFC822Name en URI; een DNSName kan bijvoorbeeld een wildcard bevatten (.voorbeeld.nl).

Een SAN-certificaat wordt uitgegeven door een Certificate Authority nadat de benodigde validering voor alle SANs is uitgevoerd. Indien een nieuw domein moet worden toegevoegd of een bestaand domein wijzigt, vereist dit meestal een heruitgifte van het certificaat. Hoewel SAN-certificaten flexibiliteit bieden, vergroot het aantal SANs de omvang van de private sleutel en de reikwijdte van vertrouwen; verlies of compromis van de sleutel beïnvloedt alle vermelde identiteiten.

Samengevat, SAN-certificaten zijn een efficiënte oplossing voor het beveiligen van meerdere domeinen of subdomeinen met één certificaat, met aandacht voor beheer en veiligheid.