multi-domain

Multi-domain to obsługa wielu domen w obrębie jednej instalacji lub konta usługi.

Jedna instalacja, wiele nazw w adresie

Termin pojawia się w kilku niezależnych kontekstach i za każdym razem znaczy coś nieco innego. Na serwerze WWW to zestaw wirtualnych hostów: w Apache dyrektywa VirtualHost z ServerName i ServerAlias, w nginx blok server z listą nazw w server_name — jeden proces obsługuje kilkadziesiąt witryn rozróżnianych po nagłówku Host. W poczcie to Postfix z virtual_mailbox_domains albo konto Microsoft 365 z kilkoma domenami zweryfikowanymi rekordem TXT. W certyfikatach oznacza pojedynczy certyfikat z listą nazw w polu subjectAltName, obsługującą także domeny z zupełnie różnych rejestratorów.

Certyfikat z listą nazw kontra wieloznacznik

Certyfikat wieloznaczny pokrywa dowolną liczbę subdomen jednego poziomu — sklep i poczta w obrębie firma.pl — ale nie obejmuje ani samej domeny drugiego poziomu bez prefiksu, ani konstrukcji dwupoziomowych, ani innej domeny. Certyfikat z wieloma wpisami SAN obejmuje dokładnie to, co wyliczono przy wystawianiu, więc dodanie kolejnej domeny wymaga ponownego wydania i podmiany na serwerze. Rozróżnienie ma znaczenie operacyjne: przy jednym certyfikacie SAN dla ośmiu domen wygaśnięcie unieruchamia wszystkie naraz, przy osobnych certyfikatach na domenę awaria jest punktowa. Serwowanie wielu certyfikatów z jednego adresu IP opiera się na rozszerzeniu SNI negocjowanym podczas nawiązywania szyfrowanego połączenia.

Miejsca, w których wielodomenowość się psuje

Najczęstszy błąd to brak konsekwentnego przekierowania: ta sama treść odpowiada pod adresem z prefiksem i bez niego, po szyfrowanym i nieszyfrowanym połączeniu, co wyszukiwarka odczytuje jako powielone strony. Drugi to ciasteczka ustawiane dla jednej domeny i niewidoczne dla pozostałych, przez co sesja gubi się przy przełączeniu. W poczcie kłopot sprawia jeden rekord SPF opisujący nadawców tylko domeny głównej, podczas gdy wysyłka idzie z aliasu — wtedy weryfikacja DMARC nie przechodzi mimo poprawnie podpisanych wiadomości, bo brakuje osobnego selektora DKIM. Zdarza się też, że dodatkowa domena wskazuje właściwy adres IP, ale serwer nie ma dla niej definicji hosta i pokazuje pierwszą witrynę z listy.

Porządkowanie zaplecza domen dla firm

Prowadzimy inwentaryzację tego, co gdzie wskazuje: rekordy A i CNAME, terminy ważności certyfikatów, przypisania skrzynek, przekierowania. Ustawiamy automatyczne odnawianie certyfikatów tam, gdzie serwer na to pozwala, i porządkujemy rekordy uwierzytelniające pocztę dla każdej domeny osobno. Pracujemy o każdej porze doby, więc przenosiny witryny czy zmianę delegacji można zaplanować na noc, gdy nikt nie pracuje na systemie.