Dès qu'un site utilise plusieurs sous-domaines — boutique.exemple.cm, blog.exemple.cm, webmail.exemple.cm — la question du certificat SSL se pose rapidement : faut-il un certificat distinct pour chacun, ou existe-t-il une solution qui couvre tout en une fois ?
Ce qu'un certificat SSL couvre exactement
Un certificat SSL « simple » est émis pour un nom exact. Un certificat pour exemple.cm ne couvre ni www.exemple.cm, ni boutique.exemple.cm, à moins que ces noms ne soient explicitement ajoutés au certificat. C'est une confusion fréquente : beaucoup pensent qu'un certificat couvre « tout le domaine », alors qu'il ne couvre que les noms précisément listés dans le certificat (le nom principal et, éventuellement, une liste de noms alternatifs).
Les trois options possibles
- Un certificat individuel par sous-domaine : simple à comprendre, souvent gratuit avec Let's Encrypt et renouvelable automatiquement. Adapté si vous gérez un nombre limité de sous-domaines, chacun avec son propre cycle de vie (hébergé sur un serveur différent par exemple).
- Un certificat wildcard (*.exemple.cm) : couvre tous les sous-domaines de premier niveau en un seul certificat, y compris ceux qui n'existent pas encore au moment de l'émission. Pratique si vous créez régulièrement de nouveaux sous-domaines (environnements de test, filiales, projets ponctuels) et que vous ne voulez pas émettre un certificat à chaque fois. Un wildcard ne couvre toutefois qu'un seul niveau : *.exemple.cm couvre boutique.exemple.cm mais pas admin.boutique.exemple.cm.
- Un certificat multi-domaines (SAN) : liste explicitement chaque nom à couvrir (domaine principal + plusieurs sous-domaines précis, voire d'autres domaines complets) dans un seul certificat. Utile quand le nombre de noms est connu et limité, et qu'on veut gérer un seul certificat plutôt que plusieurs cycles de renouvellement séparés.
Comment trancher selon votre situation
Le bon choix dépend surtout de la structure de votre infrastructure, pas d'une préférence esthétique :
- Si tous vos sous-domaines sont hébergés sur le même serveur et gérés ensemble, un wildcard simplifie beaucoup la gestion, surtout avec Let's Encrypt où le renouvellement est automatisé.
- Si vos sous-domaines sont répartis sur des serveurs différents (par exemple le site principal chez VSP TECH et un sous-domaine de documentation hébergé ailleurs), des certificats individuels restent plus logiques, chacun géré indépendamment là où il est installé.
- Si vous avez un nombre fixe et restreint de noms à protéger, un certificat multi-domaines évite de multiplier les certificats sans nécessiter un wildcard complet.
Le renouvellement, un critère souvent sous-estimé
Au-delà du coût initial, la façon dont chaque type de certificat se renouvelle mérite d'être anticipée :
- Un certificat individuel classique, via Let's Encrypt, se renouvelle généralement par une validation simple au niveau du fichier servi sur le serveur web (challenge HTTP-01), facile à automatiser entièrement.
- Un certificat wildcard exige presque toujours une validation par DNS (challenge DNS-01), ce qui suppose que votre outil de renouvellement automatique dispose d'un accès programmatique à la gestion de votre zone DNS. Sans cette intégration, le renouvellement redevient une tâche manuelle à ne pas oublier tous les trois mois.
Avant de choisir un wildcard pour sa simplicité apparente, vérifiez donc que votre hébergeur ou votre registraire propose bien l'automatisation de ce type de validation, sous peine de troquer une simplicité de gestion des noms contre une contrainte de renouvellement manuel.
Un dernier cas mérite d'être signalé : un sous-domaine qui pointe en réalité vers un service tiers externe, par exemple statut.exemple.cm redirigé vers une plateforme SaaS de page de statut, ou boutique.exemple.cm hébergé chez un prestataire e-commerce distinct. Dans ce scénario, c'est ce service tiers qui gère lui-même son propre certificat pour ce sous-domaine, indépendamment de la stratégie SSL choisie pour le reste de votre domaine principal.
Un certificat gratuit Let's Encrypt peut-il couvrir plusieurs sous-domaines ?
Oui, Let's Encrypt propose à la fois des certificats multi-domaines et des certificats wildcard gratuits, avec un renouvellement automatisé tous les trois mois via les outils standards comme Certbot ou l'automatisation intégrée au panneau d'hébergement.
Un certificat wildcard est-il automatiquement plus sûr ?
Pas forcément. Il est plus pratique à gérer, mais sa compromission expose l'ensemble des sous-domaines qu'il couvre d'un coup, ce qui en fait une cible plus intéressante pour un attaquant que plusieurs certificats individuels isolés les uns des autres.
Que vous choisissiez un certificat par sous-domaine ou une solution mutualisée, l'essentiel est qu'aucun nom utilisé publiquement ne reste sans certificat valide. Les offres certificats SSL de VSP TECH couvrent ces trois scénarios, et notre équipe peut vous aider via une demande de contact à choisir la bonne formule selon la structure de votre hébergement WordPress ou de votre infrastructure multi-serveurs.
