Если SSL-сертификат внезапно падает в проде, виноват часто не TLS и не «капризный» CA. Ошибка обычно сидит ран

Если SSL-сертификат внезапно падает в проде, виноват часто не TLS и не «капризный» CA. Ошибка обычно сидит раньше — в CSR. Пропущенный SAN, неверно собранный wildcard, ручная правка openssl.cnf, после которой домен есть «на бумаге», но отсутствует в запросе, — типовой набор причин, почему выдача превращается в инцидент.

Отдельный риск — ложные ожидания от wildcard. Один шаблон не закрывает все сценарии, а попытка использовать его как универсальную затычку только маскирует проблему управления активами.

Дальше хуже: к 2029 году срок жизни сертификатов должен сократиться до 47 дней. При таком горизонте ручной выпуск перестаёт быть операционной практикой и становится источником регуляторного и репутационного риска. Автоматизация CSR, инвентаризация SAN и контроль цепочки выпуска — уже не «техулучшение», а вопрос управляемости инфраструктуры 🔒