Certificado Wildcard é um certificado SSL/TLS que protege um domínio principal e todos os seus subdomínios de primeiro nível com uma única emissão. A sintaxe usa um asterisco como curinga — por exemplo, *.shiftmind.com.br cobre app.shiftmind.com.br, blog.shiftmind.com.br e api.shiftmind.com.br, mas não protege subdomínios aninhados como v1.api.shiftmind.com.br nem o próprio apex sem configuração explícita.
TL;DR
- O que é: certificado SSL/TLS com curinga no formato *.dominio.com que cobre o domínio e todos os subdomínios de primeiro nível.
- Por que importa: elimina a necessidade de emitir e renovar dezenas de certificados separados em arquiteturas com muitos subdomínios dinâmicos.
- Quando usar: SaaS multi-tenant, ambientes de staging e dev, APIs versionadas e qualquer infraestrutura com criação frequente de subdomínios.
Como funciona um Certificado Wildcard
Certificado Wildcard é emitido com o Common Name ou Subject Alternative Name no formato *.dominio.com, onde o asterisco funciona como curinga para qualquer subdomínio de primeiro nível. Durante o handshake TLS, o navegador compara o hostname acessado com o padrão do certificado. Se bater, a conexão é estabelecida sem alertas. Segundo a RFC 6125 (2011), o curinga só é válido no label mais à esquerda do nome de domínio, o que impede cobertura de subdomínios aninhados.
Para que serve um Certificado Wildcard
Serve para proteger arquiteturas que criam subdomínios dinamicamente, como plataformas SaaS multi-tenant (cliente1.saas.com.br, cliente2.saas.com.br), ambientes de homologação (staging.app.com, dev.app.com) e APIs versionadas. Segundo a Cloudflare (2024), empresas com mais de dez subdomínios reduzem o custo operacional de gestão de certificados em até 80% ao migrar para Wildcard.
Validação exclusiva via DNS-01
Diferente de certificados comuns, o Wildcard não aceita validação HTTP-01 nem TLS-ALPN-01. Segundo a especificação ACME (RFC 8555, 2019), apenas o desafio DNS-01 é permitido para emissão de certificados com curinga — o solicitante precisa criar um registro TXT em _acme-challenge.dominio.com para provar controle sobre o domínio. Na prática, isso exige acesso programático ao DNS, geralmente via API do provedor (Cloudflare, Route53, DigitalOcean, Google Cloud DNS).
Exemplos de uso
- SaaS de ERP: uma plataforma com subdomínio por cliente (*.erp.com.br) usa um único certificado Wildcard para provisionar SSL instantaneamente no onboarding.
- Agência digital: *.staging.agencia.com.br cobre todos os ambientes de homologação de projetos de clientes, renovados por um único Certbot em container.
- Infraestrutura interna: *.internal.empresa.com protege serviços de backend acessíveis apenas via VPN, com rotação automática via Traefik.
Emissão gratuita com Let’s Encrypt
Desde março de 2018, Let’s Encrypt emite Wildcard sem custo via ACME v2. Segundo a própria Let’s Encrypt (2024), mais de 400 milhões de domínios ativos usam a CA. As ferramentas mais comuns são Certbot (com plugins DNS), acme.sh e Caddy (emissão automática integrada). O certificado tem validade de 90 dias e exige automação de renovação — padrão da indústria para reduzir risco de chaves comprometidas.
Certificado Wildcard e a Shiftmind
A Shiftmind implementa certificados Wildcard em projetos de hospedagem WordPress, servidor dedicado e suporte e manutenção WordPress. Para projetos complexos, nosso time cuida da emissão, automação de renovação e proteção antivírus para websites ponta a ponta, com monitoramento de Certificate Transparency Log.
Termos relacionados
Para o guia completo com passo a passo de emissão, automação de renovação e análise de riscos de segurança, consulte o artigo no blog: Certificado Wildcard: cobertura de subdomínios, DNS-01 e emissão com Let’s Encrypt.
