Ogni servizio in esecuzione su un dominio deve avere un certificato separato?

"La complessità è il nemico della sicurezza"

Vorrei cercare sempre di utilizzare la quantità minima di certificati possibile per una serie di motivi, principalmente a causa della facilità di amministrazione. Mi risulta che letsencrypt non stia attualmente consentendo i certificati con caratteri jolly (questi certificati consentono essenzialmente di proteggere tutti i sottodomini di un dominio in cui i certificati tradizionali consentono solo un URL specifico (ad esempio secure.domain.com).

Ora, con quello detto, i cerattivi con caratteri jolly hanno un valore elevato e possono essere piuttosto costosi, specialmente se li usi semplicemente per uso personale. In tal caso, potresti scoprire che dovrai digitare più certificati ed esporli tramite porte non standard come hai descritto, tuttavia in ambito professionale andrei con i caratteri jolly semplicemente per la facilità di amministrazione. Più semplice è l'amministrazione meno è probabile che ti manchi qualcosa / rovina una configurazione che riduce il tuo vettore di attacco.

Dipende da più fattori, strategia di gestione dei certificati, criteri e così via.

Per le applicazioni Web di carattere generale, utilizzerei un singolo certificato per macchina se usano nomi diversi. È possibile eseguire certificati separati in base al servizio, ma ciò aumenterà gli sforzi amministrativi nella gestione dei certificati. Se si utilizza un singolo certificato per tutte le applicazioni, si aumenta la possibilità di interromperle in caso di errore del certificato (una sorta di singolo punto di errore). Penso che meno certs ti maneggi, meno problemi ottieni.