SNI (Server Name Indication)

Senza SNI un server con molti siti HTTPS sullo stesso IP non saprebbe quale certificato presentare, perché l'header Host HTTP arriva solo dopo l'handshake. SNI risolve il problema ed è la base di hosting condiviso, reverse proxy e CDN.

Se la richiesta non ha SNI, il server restituisce il certificato di default, spesso quello sbagliato. Succede nei test con openssl s_client senza -servername, con client molto vecchi o con check di monitoring che usano solo l'IP.

In TLS 1.2 e 1.3 l'hostname SNI viaggia in chiaro. Encrypted Client Hello (ECH) dovrebbe risolverlo, ma non è ancora disponibile ovunque.

Esempio