Enrutamiento SNI
Server Name Indication —extensión de TLS que permite al cliente indicar el hostname en el ClientHello (antes de completar el handshake). Permite HTTPS multiinquilino: una sola IP puede servir miles de certificados según el SNI.
RFC 6066. Antes de SNI: un certificado por IP, o un caro certificado SAN. Los proxies inversos modernos (nginx, HAProxy, Caddy) enrutan según el SNI: terminan el TLS para el hostname que coincide, o hacen proxy TCP hacia el backend. El SNI viaja en texto plano dentro del ClientHello → el ISP o los middleboxes ven el hostname. ECH (Encrypted Client Hello) cifra el SNI mediante HPKE —activado por defecto en Cloudflare y Firefox 118+. La terminación TLS de Cloudflare para millones de dominios sobre la misma IP anycast es el uso clásico de SNI.