Routing SNI
Server Name Indication — rozszerzenie TLS, dzięki któremu klient podaje nazwę hosta w ClientHello (jeszcze przed zakończeniem uzgadniania TLS). Umożliwia wielodomenowy HTTPS: jeden adres IP obsługuje tysiące certyfikatów.
RFC 6066. Przed SNI obowiązywał jeden certyfikat na adres IP albo drogi certyfikat SAN. Nowoczesne reverse proxy (nginx, HAProxy, Caddy) kierują ruch według SNI: terminują TLS dla pasującej nazwy albo przekazują TCP do backendu. SNI jest jawne w ClientHello, więc dostawca internetu i urządzenia pośredniczące widzą nazwę hosta. ECH (Encrypted Client Hello) szyfruje SNI przez HPKE — Cloudflare i Firefox 118+ mają to domyślnie. Terminacja TLS w Cloudflare dla milionów domen na tym samym adresie anycast to podręcznikowy przykład użycia SNI.