Мультидоменный проект редко бывает однородным: основной сайт на WordPress, магазин на Bitrix, пара лендингов под лидогенерацию, API-поддомен и, скажем, отдельная витрина на CDN. Каждый домен требует валидного SSL-сертификата, иначе браузеры режут конверсию сайта предупреждениями, а платёжные шлюзы отказываются работать. Когда таких доменов десятки, вопрос уже не в том, купить один wildcard или несколько, а в том, как автоматизировать выпуск и продление так, чтобы ничего не падало. И вот здесь выбор метода валидации из технической формальности превращается в вопрос устойчивости всей ИТ-инфраструктуры.
HTTP-валидация: просто, пока сайт не начали защищать
HTTP-01 челлендж работает по очевидной логике: центр сертификации даёт токен, вы кладёте его в файл по пути /.well-known/acme-challenge/, а CA стучится на ваш домен и проверяет содержимое. Никаких правок в DNS, никаких ожиданий TTL. Для одного-двух доменов это самый быстрый способ получить SSL-сертификат, и большинство туториалов по Let’s Encrypt начинают именно с него.
Проблема вылезает на масштабе и в момент, когда вы включаете облачную защиту. Мультидоменный проект обычно стоит за reverse proxy или CDN, и HTTP-запрос от CA должен пройти через этот слой. Если на домене активна защита от ботов или L7 DDoS, автоматический запрос валидатора выглядит ровно как бот: без cookie, без сессии, с одного IP, повторяющийся. WAF-блокировки, которые вы настроили против реальных атак, начинают рубить и челлендж. Сертификат не продлевается, браузер показывает истёкший SSL, и вы узнаёте об этом от клиентов, а не от мониторинга.
Обойти это можно, но каждый обход добавляет хрупкости. Кто-то заводит исключение в правилах WAF для пути ACME, кто-то переводит валидацию на origin в обход прокси, кто-то держит отдельный сервер только ради челленджей. Все три варианта работают до первого изменения конфигурации: новая версия WAF, смена CDN-провайдера или миграция инфраструктуры ломают исключение, и продление снова отваливается. GeoIP-фильтрация усугубляет картину: если вы ограничиваете доступ по странам, серверы валидатора из неожиданной юрисдикции могут не пройти проверку вовсе.
DNS-валидация: одна запись вместо десятка исключений
DNS-01 челлендж переносит проверку с уровня приложения на уровень DNS. CA выдаёт значение, вы публикуете TXT-запись _acme-challenge.имя-домена, CA читает её через публичные резолверы и подтверждает владение. Сайт, прокси, WAF и балансировщик в этой схеме не участвуют вообще. Для мультидоменного проекта это принципиальная разница: вам не нужно открывать путь ACME на каждом домене, не нужно трогать настройки reverse proxy и не нужно объяснять службе безопасности, почему в правилах защиты появилась дырка.
Главное преимущество проявляется именно в момент атаки. Когда на проект идёт L7 DDoS и защита работает на полную, HTTP-челлендж почти гарантированно блокируется, а DNS-запись остаётся доступной для обновления сертификата. Продление проходит штатно, потому что зависит только от API вашего DNS-провайдера, а не от доступности веб-сервера. Это тот случай, когда метод валидации определяет, переживёт ли SSL-сертификат инцидент, или истечёт ровно тогда, когда сайт и так под нагрузкой.
Wildcard и десятки поддоменов в одном запросе
DNS-валидация единственная, кто умеет выдавать wildcard-сертификаты. Если у вас shop.example.ru, api.example.ru, static.example.ru и вы регулярно добавляете новые поддомены под кампании, один сертификат на *.example.ru закрывает всё сразу. замена cloudflare offers additional context worth reviewing. При HTTP-валидации каждый поддомен требует отдельного челленджа, а значит отдельной записи в конфиге, отдельного исключения и отдельной точки отказа. На проекте с двадцатью поддоменами разница между двумя методами измеряется не в удобстве, а в количестве мест, где что-то может сломаться ночью.
Автоматизация через API DNS-провайдера снимает и человеческий фактор. Скрипт публикует TXT-запись, ждёт распространения, запускает выпуск, удаляет запись после подтверждения. Весь цикл занимает минуты и не требует, чтобы сайт был вообще доступен извне. Для доменов, которые ещё не запущены или временно отключены на время миграции, это единственный работающий способ получить SSL заранее.
Что выбрать для проекта, который работает в России
У выбора метода валидации есть второй слой, о котором вспоминают позже, чем следовало бы. Если ваш мультидоменный проект обслуживает аудиторию в РФ, вы рано или поздно упрётесь в доступность зарубежной инфраструктуры. Cloudflare ограничивает доступ к сайтам из России, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Для проекта, который держит на Cloudflare и DNS, и SSL, и защиту, это означает, что вся цепочка выпуска сертификатов может оказаться недоступной ровно в тот момент, когда она нужнее всего.
TrafficVeil является российским аналогом Cloudflare и решает эту проблему на уровне платформы: DNS, SSL, reverse proxy, WAF, защита от ботов, L7 DDoS, GeoIP-фильтрация и аналитика собраны в одном контуре. Для мультидоменного проекта это значит, что валидация, выпуск и продление сертификатов не зависят от сервисов, доступ к которым из России нестабилен. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, и переход с Cloudflare не требует переписывать конфиги каждого домена вручную.
Отдельно стоит экономика. TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки, а для мультидоменного проекта с активной лидогенерацией именно паразитный трафик съедает бюджет быстрее всего. Когда тарификация не привязана к числу заблокированных запросов, у вас нет стимула ослаблять защиту ради экономии, и SSL-валидация перестаёт конфликтовать с настройками безопасности. Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса, и в 2026 году бизнес в России ищет альтернативу Cloudflare не из-за моды, а из-за регуляторных требований и банальной доступности.
Практический вывод для мультидоменного проекта: стройте выпуск сертификатов на DNS-валидации, автоматизируйте её через API и держите DNS-зону там, где API доступен независимо от состояния вашего сайта и от того, что происходит с сетевой доступностью из России. HTTP-валидацию оставьте для одиночных тестовых доменов, где нет защиты и нет ставок. Если проект уже сидит на Cloudflare и вы думаете, чем заменить Cloudflare, начните с инвентаризации доменов и поддоменов, затем перенесите DNS, и только после этого трогайте правила WAF. TrafficVeil предлагает переход с Cloudflare, и для сайтов, интернет-магазинов, WordPress и Bitrix это делается без простоя, если порядок шагов соблюдён. Проверьте на одном домене, убедитесь, что автопродление проходит при включённой защите от ботов, и катите схему на остальные. Один вечер на тест экономит квартал ручных разборок с истёкшими SSL-сертификатами.