Я слышал это от нескольких команд: проблемы с SSL почти никогда не начинаются на этапе TLS. Они начинаются ран

Я слышал это от нескольких команд: проблемы с SSL почти никогда не начинаются на этапе TLS. Они начинаются раньше — в CSR.

Типичный сценарий:
— домен забыли добавить в SAN;
— wildcard решили использовать как универсальную замену всем поддоменам;
— в `openssl.cnf` руками внесли правку, а потом искали, где сломалась цепочка.

Итог предсказуемый: сертификат выпущен, но в проде не работает. Или работает не везде. Или начинает сбоить при очередном перевыпуске.

Инсайд в том, что ручной выпуск скоро станет не просто неудобным, а операционно нежизнеспособным. К 2029 году срок действия сертификатов сокращают до 47 дней — и схема «раз в год сделать CSR и забыть» уже не выдерживает масштабирования 🔐

Что это меняет для команд:
1. CSR превращается в точку риска, а не в техническую формальность.
2. SAN нужно проектировать заранее, как карту доменов.
3. Автоматизация выпуска становится не опцией, а системой измерения надежности.

Если в вашей инфраструктуре сертификаты до сих пор живут в табличке и выдаются вручную — это уже не процесс, а хрупкая традиция.