CSR ломают не TLS. TLS — уже пожарные, CSR — поджигатель.

CSR ломают не TLS. TLS — уже пожарные, CSR — поджигатель.

Самый частый фейл: в SAN не добавили все домены и поддомены. Потом начинается цирк: `www` живёт, `api` — мёртвый, а в логах браузер орёт про mismatch. Второй удар — wildcard. Люди до сих пор думают, что `*.site.com` закроет всё подряд. Нет. Он не покрывает корень `site.com` и не спасает от кривой структуры доменов.

Третий классический провал — ручной `openssl.cnf`. Один лишний пробел, одна забытая секция, и CSR уже не тот. Сертификат выпускается, но половина инфраструктуры потом смотрит на вас как на виновника инцидента 🔥

И вот почему ручной выпуск скоро окончательно станет музейным экспонатом: к 2029 году срок жизни сертификатов должны ужать до 47 дней. Это значит, что “раз в год руками” больше не работает. Нужны ACME, автоматизация, нормальный контроль SAN и предсказуемый renewal. Иначе SSL превращается в ежемесячную лотерею, где проигрывает всегда прод.