Un certificado SSL multidominio, también llamado SAN (Subject Alternative Names), es un certificado que protege múltiples dominios y subdominios distintos con un solo archivo de certificado. En lugar de instalar y renovar un certificado por cada dominio, gestionas uno solo que cubre todos.
A continuación explicamos cómo funciona, en qué se diferencia de un certificado wildcard, y cuándo es la opción más inteligente para tu proyecto.
¿Qué son los SAN y cómo funcionan?
El estándar X.509 —el formato base de todos los certificados SSL/TLS— incluye un campo llamado Subject Alternative Name (SAN). Originalmente fue diseñado para listar múltiples identificadores bajo un mismo certificado: dominios, subdominios, direcciones IP, incluso direcciones de correo.
Cuando un navegador verifica un certificado, revisa tanto el campo Common Name (CN) como todos los SAN registrados. Si el dominio actual coincide con cualquiera de ellos, la conexión es válida.
Un certificado SAN típico podría proteger:
miempresa.comwww.miempresa.commiempresa.mxtienda.miempresa.commiempresa.net
Todo con un solo par de archivos (certificado + clave privada) instalado en el servidor.
Diferencias clave: SAN vs. Wildcard vs. Certificado individual
| Característica | Individual | Wildcard | SAN (multidominio) |
|---|---|---|---|
| Dominios cubiertos | 1 | 1 dominio + todos sus subdominios de un nivel | Múltiples dominios distintos (hasta ~100 SAN) |
| Subdominios distintos | No | Sí (solo del mismo dominio base) | Sí (de cualquier dominio) |
| Dominios de distintos TLD | No | No | Sí |
| Gestión | Un certificado por dominio | Un certificado | Un certificado |
| Costo relativo | Bajo por unidad, alto en escala | Medio | Medio-alto; escala bien |
La diferencia crítica con un wildcard: *.miempresa.com cubre tienda.miempresa.com y blog.miempresa.com, pero no cubre miempresa.mx ni miempresa.net. Para dominios raíz distintos, necesitas SAN.
Cuándo conviene usar un certificado SAN
Un certificado multidominio es la opción correcta cuando:
- Tienes presencia en múltiples extensiones de dominio (.com, .mx, .net, .org) y quieres protegerlas todas.
- Gestionas los sitios de varios clientes desde un solo servidor y necesitas un certificado por servidor (como en hosting compartido gestionado).
- Tienes una intranet o ambiente de staging en un dominio distinto al de producción pero quieres cubrirlos juntos.
- Manejas un e-commerce con dominio principal y tienda en subdominio o dominio alternativo:
mitienda.comypago.mitienda.mxbajo un solo certificado. - Quieres simplificar las renovaciones: renovar un certificado en lugar de cinco o diez reduce el riesgo de olvidar uno.
En cambio, si solo necesitas proteger subdominios del mismo dominio base (blog., api., app.), un certificado wildcard es más simple y económico.
Validación y tipos de SAN disponibles
Los certificados SAN están disponibles en los tres niveles de validación estándar:
- DV (Domain Validation): verificación automática de propiedad de dominio. El más rápido de obtener (minutos). Ideal para blogs, portafolios, proyectos internos.
- OV (Organization Validation): la CA verifica que la organización existe. Aparece información de la empresa en el certificado. Recomendado para sitios corporativos.
- EV (Extended Validation): el nivel más estricto. Proceso de verificación exhaustivo. Recomendado para banca, e-commerce de alto valor y portales gubernamentales.
Let's Encrypt emite certificados DV con soporte de múltiples SAN de forma gratuita, lo que los hace muy populares para proyectos con varios dominios propios. Las autoridades comerciales como DigiCert, Sectigo o GlobalSign ofrecen SAN OV y EV con garantías y soporte adicional.
Si quieres profundizar en las diferencias entre tipos de certificados, visita nuestra sección de seguridad SSL donde encontrarás guías comparativas detalladas.
Cómo agregar o modificar SAN en un certificado
Los SAN se definen en el momento de generar el CSR (Certificate Signing Request). No pueden modificarse después sin revocar el certificado actual y emitir uno nuevo.
En la práctica, para agregar un dominio nuevo a un certificado SAN existente debes:
- Generar un nuevo CSR que incluya todos los SAN (los anteriores más el nuevo).
- Solicitar la reemisión del certificado a tu CA.
- Completar la validación para cada nuevo dominio agregado.
- Instalar el nuevo certificado en el servidor.
La mayoría de las CA permiten reemisiones gratuitas durante el período de vigencia del certificado, por lo que agregar dominios no suele tener costo adicional.
El equipo de elenlace.com puede gestionar por ti la emisión, configuración e instalación de certificados SAN en cualquier servidor o panel de hosting, incluyendo la correcta cadena de certificados para evitar errores en navegadores.
Conclusiones clave
- Un certificado SSL SAN protege múltiples dominios distintos —incluyendo diferentes TLD— con un solo archivo de certificado.
- Es superior al wildcard cuando necesitas cubrir dominios raíz distintos, no solo subdominios.
- Simplifica la renovación y reduce el riesgo de olvidar certificados vencidos cuando manejas varios dominios.
- Está disponible en niveles DV, OV y EV; Let's Encrypt ofrece SAN DV gratis.
- Los SAN se fijan en el CSR; para agregar dominios nuevos hay que reemitir el certificado.
¿Necesitas proteger varios dominios con un solo certificado? Contacta a elenlace.com y te asesoramos sobre el tipo de certificado SAN más adecuado para tu caso, con instalación incluida.
Preguntas frecuentes
¿Cuántos dominios puede cubrir un certificado SAN?
Técnicamente el estándar permite hasta 100 SAN o más, pero la mayoría de las CA comerciales ofrecen planes de 5, 10, 25 o 100 dominios. Let's Encrypt permite hasta 100 SAN por certificado de forma gratuita.
¿Un certificado SAN sirve para subdominios?
Sí, puedes incluir subdominios específicos como SAN (por ejemplo, tienda.midominio.com). Sin embargo, si necesitas cubrir todos los subdominios de un dominio base sin tener que listarlos uno por uno, un certificado wildcard (*.midominio.com) es más práctico.
¿Puedo combinar SAN y wildcard en un mismo certificado?
Sí. Muchas CA permiten emitir certificados que incluyen tanto entradas wildcard (*.miempresa.com) como dominios adicionales distintos (miempresa.mx). Esto ofrece la máxima flexibilidad para infraestructuras complejas.
¿Un certificado SAN afecta el rendimiento del servidor?
No de forma significativa. El número de SAN en un certificado tiene un impacto mínimo en el tamaño del certificado y en el handshake TLS. El rendimiento está mucho más influenciado por el algoritmo de cifrado elegido y la configuración TLS del servidor.
Recursos útiles
Otros proveedores y guías que vale la pena comparar:
