SSL für Domainübergreifendes Projekt

[Yanko]

Hallo zusammen,

ich bin gerade dabei die Domainstruktur für mein größeres Projekt zu planen.
Es geht dabei um folgendes:

Ich habe mehrere kleine Anwendungen, die jeweils eine eigene Domain besitzen(nehme einfach die bezeichnungen als Domain, damit es übersichtlicher ist):

www.anwendung1.de, www.anwendung1.com -> je nach Sprache
www.anwendung2.de, www.anwendung2.com, ...

Um alle Domains mit Signle Sign on zu verbinden und eine Übersicht über die Anwendungen zu bieten, gibt es noch ein Portal:

www.portal.de, www.portal.com, ...

Die Anwendungen bekommen Informationen über die Portal-API.

api.portal.com

Dann gibt es noch die Projektseite, ist in etwa so etwas wie die Unternehmensseite bei Firmen, also die Anbieterseite:

www.projektname.de, www.projektname.com

Darüber läuft auch der zentrale Loginserver:

login.projektname.com

Jetzt brauche ich für einzelnen Anwendungen und das Portal eine SSL-Verschlüsselung. Wenn ich mir jetzt für jede Domain und Subdomain ein SSL-Zertifikat holen würde, wär ich ein Vermögen los.

Auch die Emailsubdomains, smtp.projektname.com sollten evtl. Verschlüsselt werden.

Also hab ich mir gedacht ich hole für die "höchste" Domain in meiner Hierachi ein Zertifikat, dass wäre dann

https://www.projektname.com

Könnte ich jetzt durch Domainumleitungen z.B. durch dieses Zertifikat auch Domains wie api.portal.projektname.com verschlüsseln? Oder gar api.portal.com?

Ich hoffe ihr könnt mir helfen, wie ich das am geschicktesten angehe, ohne ein Vermögen auszugeben.

Alle Seiten laufen über einen Server bei Hetzner und die Auswahl der SSL-Zertifikate findet ihr hier: http://www.hetzner.de/hosting/ssl/zertifikat

Euer Yanko

 

[vb-server]

StartSSL hat Wildcard Certs für 49$. Kannst dann so sachen machen: *.domain.com, *.*.domain.com etc.

 

[Yanko]

Mir ist gerade noch eine andere Idee gekommen.

Ich bestelle für die Domain ssl.projektname.com eine SSL-Verschlüsselung und baue dann meine "Subdomains" so auf:

https://ssl.projektname.com/portal/api

https://ssl.projektname.com/login

https://ssl.projektname.com/portal/anwendung1

Die SSL-Verschlüsselung ist nur bei APIs und bei Anwendungen für die Facebook-App nötig und nicht, für die Seiten die der Benutzer normal aufruft.

 

[d4f]

Falls deine Besucher sich einloggen, vergiss das Cookie-Problem nicht: in (immer verbreiteter werdenden) public hotspots kann dieser abgegreift und der Besucher impersoniert werden. Und das ganz ohoe aufwendige Mitm Angriffe. Gibt sogar eine Firefox-Erweiterung dafür...

Wie vb-server schon vorgeschlagen hat ist startssl mit 50€/Jahr für eine unbegrenzte Anzahl an Wildcard/Multidomain Zertifikaten eine gute Lösung

 

[Lord Gurke]

@vb-server:
Ein Wildcard-Zertifikat gilt nur für ein Level - also *.domain.tld.
Hosts unter *.*.domain.tld werden damit NICHT mehr abgedeckt!

Es gibt von Geotrust (und anderen auch) Zertifikate mit SAN-Hosts.
Du stellst dabei das Zertifikat auf domain1.tld aus, kannst dann aber auch domain2.tld und domain3.tld als SAN-Host hinzufügen.