Un certificado SSL wildcard es un certificado digital que asegura con HTTPS un dominio raíz y la totalidad de sus subdominios de primer nivel mediante un único archivo de certificado. Si tienes *.tudominio.com, ese solo certificado cubre tienda.tudominio.com, blog.tudominio.com, api.tudominio.com y cualquier otro subdominio que crees en el futuro.
Qué es exactamente un certificado wildcard
La palabra wildcard (comodín en inglés) proviene del carácter asterisco * que aparece en el campo Common Name o en el Subject Alternative Name del certificado. Ese asterisco actúa como un comodín: coincide con cualquier cadena de texto en la posición del subdominio.
El estándar X.509 que rige los certificados TLS permite este tipo de coincidencia, pero con una restricción importante: el asterisco cubre un solo nivel de subdominio.
*.tudominio.com→ cubreblog.tudominio.com✔*.tudominio.com→ no cubredev.blog.tudominio.com✗*.tudominio.com→ no cubre el dominio raíztudominio.compor sí solo (hay que incluirlo explícitamente en el certificado)
La mayoría de las autoridades certificadoras emiten el wildcard acompañado del dominio raíz como SAN adicional, de modo que un solo certificado protege tanto tudominio.com como *.tudominio.com.
Cómo funciona técnicamente
Durante el TLS handshake, el navegador del visitante recibe el certificado del servidor y verifica dos cosas:
- Que el nombre de dominio solicitado coincide con el campo
CNo algúnSANdel certificado (aquí entra el wildcard). - Que la firma del certificado es válida y fue emitida por una Autoridad Certificadora (CA) de confianza.
Cuando el servidor presenta *.tudominio.com y el visitante llega a tienda.tudominio.com, el navegador compara el asterisco con la cadena "tienda" —coincide en un nivel— y acepta el certificado. El resultado es el candado verde y la conexión cifrada.
La clave privada asociada al certificado wildcard es compartida por todos los subdominios que protege. Esto tiene implicaciones de seguridad que conviene conocer (ver más adelante).
Diferencias frente a otros tipos de certificado
| Tipo | Cubre | Ideal para | Precio aproximado (MXN/año) |
|---|---|---|---|
| DV de dominio único | 1 dominio o subdominio | Sitios pequeños | Gratuito – $600 |
| Wildcard DV | Dominio raíz + todos los subdominios de un nivel | Proyectos con múltiples subdominios | $800 – $2,500 |
| Multi-dominio SAN | Hasta ~250 dominios distintos | Agencias con muchos clientes | $1,200 – $5,000 |
| Wildcard OV/EV | Igual que wildcard DV, con validación de organización | Empresas que requieren identidad verificada | $3,000 – $12,000 |
Let's Encrypt también emite certificados wildcard gratuitos, aunque su renovación requiere el reto DNS-01 (no el HTTP-01 habitual), lo cual implica automatización adicional en el proveedor de DNS.
Cuándo conviene usar un certificado wildcard
El wildcard es la elección natural cuando:
- Tienes tres o más subdominios activos o planeas crearlos a corto plazo. Con uno o dos subdominios, certificados individuales gratuitos (Let's Encrypt) pueden ser más sencillos.
- Tu arquitectura crea subdominios de forma dinámica: por ejemplo, tiendas SaaS donde cada cliente tiene su propio
cliente.tuapp.com. - Buscas centralizar la gestión: un solo proceso de renovación cubre todo el ecosistema de subdominios.
- Usas paneles de hosting como cPanel o Plesk que permiten instalar un wildcard una vez y aplicarlo automáticamente a nuevos subdominios.
Por otro lado, el wildcard no es la mejor opción cuando necesitas diferentes niveles de validación por subdominio (por ejemplo, un subdominio con EV y otro con DV) o cuando tus subdominios pertenecen a dominios raíz completamente distintos.
Consideraciones de seguridad
El uso de un certificado wildcard implica compartir la misma clave privada entre todos los subdominios. Esto introduce un riesgo concreto: si un subdominio es comprometido y la clave privada queda expuesta, todos los subdominios cubiertos quedan en riesgo.
Buenas prácticas para mitigarlo:
- Almacena la clave privada en un gestor de secretos o HSM, no en texto plano en disco.
- Restringe el acceso al archivo de clave al usuario del servidor web (
www-data,apache, etc.). - Monitorea activamente todos los subdominios incluidos en el wildcard.
- Si un subdominio es de alta sensibilidad (pasarela de pagos, panel de administración), considera un certificado dedicado para aislarlo.
Puedes explorar más guías sobre protección HTTPS en nuestra sección de seguridad SSL y certificados.
Conclusiones clave
- Un certificado SSL wildcard protege el dominio raíz y todos sus subdominios de primer nivel con un solo certificado.
- El asterisco (
*) en el Common Name actúa como comodín, pero solo cubre un nivel de subdominio. - Es la mejor opción cuando tienes tres o más subdominios activos o una arquitectura SaaS que los genera dinámicamente.
- Compartir la clave privada implica un riesgo de seguridad: si cae un subdominio, todos quedan expuestos.
- Let's Encrypt ofrece wildcards gratuitos, pero requieren automatización DNS-01 para la renovación.
¿Listo para asegurar todos tus subdominios con un solo certificado? En elenlace.com te ayudamos a elegir, instalar y renovar el certificado SSL wildcard que mejor se ajusta a tu proyecto web.
Preguntas frecuentes
¿Un certificado wildcard cubre subdominios de segundo nivel como dev.blog.midominio.com?
No. El wildcard estándar (*.midominio.com) solo cubre un nivel de subdominio. Para cubrir dev.blog.midominio.com necesitarías un wildcard adicional (*.blog.midominio.com) o un certificado multi-dominio SAN.
¿Puedo usar Let's Encrypt para un certificado wildcard?
Sí. Let's Encrypt emite wildcards gratuitos, pero el proceso de validación exige el reto DNS-01, que requiere agregar un registro TXT temporal en tu zona DNS. Muchos proveedores de DNS ofrecen APIs para automatizar esto con herramientas como Certbot.
¿Un certificado wildcard incluye el dominio raíz?
Depende de la CA. La mayoría incluye el dominio raíz como SAN adicional al emitir un wildcard, pero conviene verificarlo antes de contratar. Si no lo incluye, tendrás que añadirlo manualmente o pedir a tu proveedor que lo emita junto con el wildcard.
¿Es más seguro un wildcard que varios certificados individuales?
No necesariamente. Varios certificados individuales aíslan mejor el riesgo: si uno se compromete, los demás no se ven afectados. El wildcard, en cambio, simplifica la gestión pero concentra el riesgo en una sola clave privada. La decisión depende de tu arquitectura y de la sensibilidad de cada subdominio.
¿Prefieres que lo hagamos por ti? En El Enlace resolvemos hosting y desarrollo web profesional.
Para saber más
Otros proveedores y guías que vale la pena comparar:
