Pour gérer le www de chacun de ces sous-domaines (pour faire www.nice.ville.fr par exemple) il faut déclarer tous ces sous-domaines, SAN est juste un moyen de réduire le nombre de certificats, pas un moyen de ne pas déclarer explicitement ces sous-domaines.
Maintenant tu mets Letsencrypt dans la boucle, avec des certificats que tu renouvelles tous les trois mois, bah t’es coincé. Tu as 300 sites en ville.fr ? Tu veux aussi gérer les www ? tu dois faire valider 600 domaines dans la semaine alors que tu ne peux qu’en valider 20 par semaines ? Tu ne t’en sors que grâce au SAN justement.
Je rappelle les contraintes de Letsencrypt:
100 domaines maximum par certificat
20 certificats par semaine pour un même domaine principal (pour example.com tu peux demander vingt fois quelquechose.example.com, pas plus)
5 erreurs par semaine
J’ai justement mis en place une infrastructure qui découpe des listes de domaines pour faire des certificats Letsencrypt par paquet de 100 domaines. Je peux donc théoriquement faire certifier 1999 sous-domaine plus d’un même domaine principal par semaine, plus ce domaine principal.
Letsencrypt a rendu possible la création de certificats wildcard depuis que j’ai mis en place cette infrastructure, et je compte bien y passer un jour, mais le wildcard ne prendra pas en charge les www.
Actuellement je certifie 300 domaines avec 3 paquets de 100. Si je devais certifier les www je devrais certifier 600 domaines avec 6 paquets de 100.
Quand je serai passé au wildcard letsencrypt je certifierai 300 domaines avec 1 paquet de 2 (example.com et *.example.com), je ne veux surtout pas devoir certifier 300 www ni 300 wildcard supplémentaires juste parce qu’ « on a toujours fait ainsi »...
Le préfixe www a un coût humain, logistique et économique non négligeable.
En mettre un devrait être une exception qui doit répondre à un besoin technique très particulier, avec lettre de motivation en trois exemplaires, tampon du directeur, du comptable, des ressources humaines, de l’avocat et une signature du BOFH en lettres de sang.
Je veux bien entendre que dans certains cas le www puisse répondre techniquement à une problématique matérielle évident, mais en mettre un parce que le service comm' trouve ça web 4.0, non. Quand on voit un www il faut penser « tiens ces gens semblent faire face à des problématiques techniques d’une matérialité évidente ». Si t’es pas un des dix plus gros acteurs du ouaibe ça devrait être mauvais pour ton image de mettre un www.
ce commentaire est sous licence cc by 4 et précédentes
[^] # Re: www ou non
Posté par Thomas Debesse (site web personnel, Mastodon) . En réponse à la dépêche Évolution des hyperliens sur LinuxFr.org. Évalué à 5.
C’est bien justement ça le problème : devoir gérer les
wwwsur des sous-domaine implique de déclarer tous les sous-domaines.Je parle bien de ce schéma là :
Pour gérer le
wwwde chacun de ces sous-domaines (pour fairewww.nice.ville.frpar exemple) il faut déclarer tous ces sous-domaines, SAN est juste un moyen de réduire le nombre de certificats, pas un moyen de ne pas déclarer explicitement ces sous-domaines.Maintenant tu mets Letsencrypt dans la boucle, avec des certificats que tu renouvelles tous les trois mois, bah t’es coincé. Tu as 300 sites en
ville.fr? Tu veux aussi gérer leswww? tu dois faire valider 600 domaines dans la semaine alors que tu ne peux qu’en valider 20 par semaines ? Tu ne t’en sors que grâce au SAN justement.Je rappelle les contraintes de Letsencrypt:
example.comtu peux demander vingt foisquelquechose.example.com, pas plus)J’ai justement mis en place une infrastructure qui découpe des listes de domaines pour faire des certificats Letsencrypt par paquet de 100 domaines. Je peux donc théoriquement faire certifier 1999 sous-domaine plus d’un même domaine principal par semaine, plus ce domaine principal.
Letsencrypt a rendu possible la création de certificats wildcard depuis que j’ai mis en place cette infrastructure, et je compte bien y passer un jour, mais le wildcard ne prendra pas en charge les
www.Actuellement je certifie 300 domaines avec 3 paquets de 100. Si je devais certifier les
wwwje devrais certifier 600 domaines avec 6 paquets de 100.Quand je serai passé au wildcard letsencrypt je certifierai 300 domaines avec 1 paquet de 2 (
example.comet*.example.com), je ne veux surtout pas devoir certifier 300wwwni 300 wildcard supplémentaires juste parce qu’ « on a toujours fait ainsi »...Le préfixe
wwwa un coût humain, logistique et économique non négligeable.En mettre un devrait être une exception qui doit répondre à un besoin technique très particulier, avec lettre de motivation en trois exemplaires, tampon du directeur, du comptable, des ressources humaines, de l’avocat et une signature du BOFH en lettres de sang.
Je veux bien entendre que dans certains cas le
wwwpuisse répondre techniquement à une problématique matérielle évident, mais en mettre un parce que le service comm' trouve ça web 4.0, non. Quand on voit unwwwil faut penser « tiens ces gens semblent faire face à des problématiques techniques d’une matérialité évidente ». Si t’es pas un des dix plus gros acteurs du ouaibe ça devrait être mauvais pour ton image de mettre unwww.ce commentaire est sous licence cc by 4 et précédentes