CSR — это тот момент, где SSL чаще всего ломается не в TLS, а ещё до него.

CSR — это тот момент, где SSL чаще всего ломается не в TLS, а ещё до него.
И да, обычно виноваты не «серверные настройки», а человеческий фактор: забыли SAN, неправильно поняли wildcard, руками накосячили в `openssl.cnf`.

Что важно держать в голове:

1. **SAN — не опция, а база**
Если домен не попал в SAN, сертификат может быть формально выпущен, но в проде он не спасёт.

2. **Wildcard не закрывает всё подряд**
`*.example.com` — это не билет на все поддомены сразу. Ожидания от него часто расходятся с реальностью.

3. **Ручной выпуск умирает как процесс**
Когда срок жизни сертификатов сокращается до 47 дней к 2029 году, ручной сценарий превращается в постоянный пожар. 🔥

Вывод простой: если CSR собирается руками, ошибки почти гарантированы.
Что делать:
— проверять SAN до выпуска;
— отдельно валидировать wildcard-логику;
— уводить выпуск в автоматизацию, а не в «сделаем по инструкции».

Иначе мониторить придётся не выдачу, а причины очередного простоя.