SNI routing
Server Name Indication: estensione TLS con cui il client indica il nome host nel ClientHello, prima della fine dell'handshake. Permette l'HTTPS multi-tenant: un solo IP serve migliaia di certificati in base all'SNI.
RFC 6066. Prima dell'SNI serviva un certificato per IP, o un costoso certificato SAN. I reverse proxy moderni (nginx, HAProxy, Caddy) instradano in base all'SNI: terminano il TLS per l'host corrispondente oppure fanno da proxy TCP verso il backend. L'SNI viaggia in chiaro nel ClientHello, quindi provider e middlebox vedono il nome host. ECH (Encrypted Client Hello) lo cifra con HPKE: Cloudflare e Firefox 118+ lo attivano di default. La terminazione TLS di Cloudflare per milioni di domini sullo stesso IP anycast è l'esempio classico.