≡En resumen
- Un wildcard cubre blog.ejemplo.com y tienda.ejemplo.com, pero no ejemplo.com (salvo que se añada) ni api.v2.ejemplo.com.
- Solo existe en validación de dominio (DV) u organización (OV); si necesitas EV, cada nombre debe ir en el certificado.
- Let's Encrypt emite wildcards gratis, pero exige demostrar el control del dominio con un registro TXT en el DNS.
- Con validez máxima de 200 días desde marzo de 2026, y 47 días en 2029, la renovación tiene que estar automatizada.
- Su gran riesgo es que la misma clave privada vale para todos los subdominios: si se filtra en un servidor, afecta a todos.
01 ¿Qué es un certificado wildcard SSL?
El término se llama «SSL» por costumbre: SSL es el nombre del antiguo protocolo de cifrado, y hoy todas las webs usan su sucesor, TLS. Un certificado wildcard es, técnicamente, un certificado TLS; lo que cambia es el nombre para el que se emite. Funciona igual que cualquier otro en HTTPS: el navegador comprueba que el nombre visitado encaja con el del certificado y que lo firma una autoridad de certificación de confianza.
02 Qué subdominios cubre (y cuáles no)
El asterisco sustituye exactamente a una etiqueta, es decir, a un solo tramo del nombre entre puntos. Por eso un wildcard encaja muy bien con una estructura de subdominios plana, pero no con subdominios anidados.
| Nombre | ¿Lo cubre? | Motivo |
|---|---|---|
| www.ejemplo.com | Sí | Un nivel por debajo del dominio |
| tienda.ejemplo.com | Sí | Un nivel por debajo del dominio |
| ejemplo.com | No, salvo que se añada | El asterisco no puede quedar vacío; se incluye el dominio raíz como segundo nombre (SAN) |
| api.v2.ejemplo.com | No | Son dos niveles; necesitas *.v2.ejemplo.com u otro certificado |
| ejemplo.es | No | Es otro dominio; hace falta un certificado multidominio o uno propio |
03 Wildcard vs multidominio (SAN) vs certificado de un dominio
| Tipo | Qué protege | Validaciones posibles | Cuándo elegirlo |
|---|---|---|---|
| Un solo dominio | Un nombre, por ejemplo www.ejemplo.com (a menudo también ejemplo.com) | DV, OV o EV | Webs sencillas con un único sitio |
| Wildcard | Todos los subdominios de un nivel: *.ejemplo.com | DV u OV | Muchos subdominios o subdominios que se crean sobre la marcha |
| Multidominio (SAN o UCC) | Una lista cerrada de nombres, incluso de dominios distintos | DV, OV o EV | Varios dominios o marcas en un mismo servidor |
| Multidominio con comodines | Varios wildcards en un mismo certificado (*.ejemplo.com, *.ejemplo.es) | DV u OV | Grupos con varios dominios y muchos subdominios |
La validación indica qué ha comprobado la autoridad. En DV (validación de dominio) solo verifica que controlas el dominio; en OV (organización) comprueba además que la empresa existe; en EV (validación extendida) hace una verificación más estricta, y las directrices del CA/Browser Forum no permiten comodines en esos certificados. Para el cifrado no hay diferencia: los tres protegen igual los datos en tránsito.
04 Cómo obtener un wildcard gratis con Let's Encrypt (DNS-01)
Let's Encrypt emite certificados wildcard gratuitos desde el 13 de marzo de 2018, a través de su API ACME v2. La condición es demostrar el control del dominio con el desafío DNS-01: los métodos HTTP-01 y TLS-ALPN-01 no sirven para comodines. Por eso necesitas acceso a la zona DNS del dominio.
-
1
Elige un cliente ACME
Certbot, acme.sh o el que integre tu panel de hosting o tu proxy (Caddy, Traefik).
-
2
Pide los dos nombres
Solicita *.ejemplo.com y ejemplo.com en la misma orden.
-
3
Publica el registro TXT
El cliente te da un valor que debe publicarse como registro TXT en _acme-challenge.ejemplo.com.
-
4
Espera la propagación y valida
Let's Encrypt consulta el DNS, comprueba el valor y emite el certificado.
-
5
Automatiza la renovación
Usa el complemento de tu proveedor DNS para que el cliente cree el TXT solo mediante su API, con credenciales limitadas a esa zona.
-
6
Instala y distribuye
Configura el certificado en cada servidor o, mejor, en un único proxy o balanceador delante de todos.
05 Cómo comprobar qué nombres cubre tu certificado
Antes de instalar un certificado en un subdominio nuevo, comprueba que el nombre encaja. La información está en el campo Nombre alternativo del sujeto (SAN), que es el que miran los navegadores; el antiguo campo «nombre común» ya no decide nada.
-
1
Desde el navegador
Pulsa el icono de información junto a la dirección, abre los detalles del certificado y busca la lista de nombres alternativos: deberías ver *.ejemplo.com y ejemplo.com.
-
2
Desde la terminal
Con OpenSSL puedes pedir el certificado al servidor y mostrar solo los nombres: openssl s_client -connect tienda.ejemplo.com:443 -servername tienda.ejemplo.com, y después openssl x509 -noout -ext subjectAltName.
-
3
En los registros públicos
Los certificados públicos que aceptan navegadores como Chrome y Safari se publican en los registros de Certificate Transparency, que puedes consultar en buscadores como crt.sh para ver cuáles se han emitido para tu dominio.
-
4
Vigila la caducidad
Añade una alerta de monitorización que avise con días de margen; con validez de 200 días o menos, un fallo de renovación se nota pronto.
06 Certificados cada vez más cortos: 200, 100 y 47 días
El CA/Browser Forum, que reúne a las autoridades de certificación y a los fabricantes de navegadores, aprobó el 11 de abril de 2025 el Ballot SC-081v3, que reduce por fases la validez máxima de los certificados TLS públicos, incluidos los wildcard. También acorta el tiempo durante el que una autoridad puede reutilizar la validación del dominio, que acabará en 10 días.
| Emitidos desde | Validez máxima |
|---|---|
| Antes del 15 de marzo de 2026 | 398 días |
| 15 de marzo de 2026 | 200 días |
| 15 de marzo de 2027 | 100 días |
| 15 de marzo de 2029 | 47 días |
07 Ventajas, riesgos y cuándo usar un wildcard
| Ventajas | Inconvenientes |
|---|---|
| Un único certificado para subdominios presentes y futuros | Una sola clave privada para todos: si se filtra, se compromete todo el dominio |
| Menos renovaciones y menos errores de caducidad | No cubre subdominios de segundo nivel ni el dominio raíz sin añadirlo |
| Imprescindible cuando los subdominios se crean automáticamente | No existe en EV |
| Gratis con Let's Encrypt | Exige automatizar el DNS para renovar sin intervención |
En octubre de 2021 la NSA publicó una guía sobre los riesgos de los wildcard mal delimitados y de la técnica ALPACA, que aprovecha un certificado compartido entre la web y otros servicios, como el correo, para atacar a los usuarios. La recomendación práctica: no copies la misma clave en servidores de distinta confianza y limita el wildcard a los servicios web que realmente lo necesitan. Tienes más medidas en nuestra guía de seguridad web frente a los ataques más comunes.
Una plataforma de reservas da a cada cliente su dirección propia: clinica-garcia.reservas.com, fisio-lopez.reservas.com… Los subdominios se crean al darse de alta, así que un wildcard para *.reservas.com, renovado de forma automática en el balanceador, evita pedir un certificado por cliente. Es una de las decisiones de arquitectura que tomamos al construir una plataforma SaaS a medida.
Preguntas frecuentes sobre Wildcard SSL
Es un certificado TLS emitido para *.dominio.com que protege con HTTPS todos los subdominios de primer nivel de ese dominio con un único certificado.
No por sí mismo: *.ejemplo.com no incluye ejemplo.com. Hay que añadir el dominio raíz como segundo nombre del certificado, algo que casi todas las autoridades permiten.
No. El asterisco equivale a un solo nivel, así que api.v2.ejemplo.com necesita un certificado para *.v2.ejemplo.com o uno específico.
No. Las directrices del CA/Browser Forum no permiten comodines en certificados de validación extendida; los wildcard son DV u OV.
Con Let's Encrypt u otra autoridad ACME gratuita, validando el dominio con el desafío DNS-01, que consiste en publicar un registro TXT en _acme-challenge.
Desde el 15 de marzo de 2026, como máximo 200 días; bajará a 100 días en marzo de 2027 y a 47 días en marzo de 2029. Los de Let's Encrypt duran aún menos.
El wildcard protege cualquier subdominio de un dominio; el multidominio (SAN) protege una lista concreta de nombres, que pueden ser de dominios distintos.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗