С SSL обычно разбираются уже на этапе «почему браузер ругается». Но узкое место часто раньше — в CSR.

Из инсайда: самые частые ошибки не в TLS, а в подготовке запроса на сертификат:

— забыли добавить SAN-домены
— перепутали wildcard и конкретные поддомены
— руками собрали openssl.cnf и не заметили лишний символ
— выпустили сертификат, который не покрывает реальный набор хостов

Wildcard тоже часто переоценивают: он не заменяет нормальную модель имен, а только закрывает один уровень поддоменов. Если инфраструктура растёт, этого быстро становится мало.

Отдельно меняется экономика процесса. При сокращении срока жизни сертификатов до 47 дней к 2029 году ручной выпуск уже не выглядит рабочей схемой. Слишком много точек отказа: CSR, валидация, выпуск, установка, ротация 🔧

Что приходит на замену: автоматизация через ACME, централизованное управление сертификатами и проверка шаблонов CSR до выпуска. Иначе SSL превращается не в защиту, а в регулярный инцидент.