CSR ломают сертификаты чаще, чем TLS.

CSR ломают сертификаты чаще, чем TLS.

Что обычно происходит:
— в CSR забыли SAN-домены;
— wildcard ждали как «закроет всё», а он не закрывает;
— в openssl.cnf руками накосячили с шаблоном;
— выпустили сертификат, а потом ловят несовпадение имени уже в проде.

Ключевая проблема: ошибка сидит не в настройке TLS, а раньше — на этапе запроса. И чем короче срок жизни сертификата, тем дороже ручной выпуск.

Факт без романтики: к 2029 году срок действия SSL должны сократить до 47 дней. Это убивает модель «раз в год руками обновили и забыли». 📉

Что это значит для команды:
— CSR надо генерить без ручного творчества;
— SAN должен проверяться до выпуска;
— wildcard использовать только там, где он реально покрывает кейс;
— выпуск сертификатов переводить в автоматизацию, а не в ритуал.

Вывод простой: если CSR собирается руками, ошибки уже встроены в процесс.