SSL чаще падает не на TLS, а на кривом CSR. Классика жанра: забыли SAN, надеялись на wildcard как на магию, на

SSL чаще падает не на TLS, а на кривом CSR. Классика жанра: забыли SAN, надеялись на wildcard как на магию, накосячили в `openssl.cnf` — и потом ловят «почему сертификат не покрывает нужный хост».

Wildcard — не универсальная затычка. Он закрывает только один уровень поддоменов, а всё, что глубже или вне схемы, остаётся снаружи. SAN — вообще не опция «на потом», а база. Если домены не перечислены сразу, пересборка CSR превращается в бессмысленную рутину.

Отдельный цирк — ручной выпуск. Когда срок действия сертификатов режут до 47 дней к 2029 году, руками это уже не операционный процесс, а способ красиво убить себе время 🔧 Автовыдача, шаблоны, нормальная генерация CSR и контроль состава SAN становятся не удобством, а гигиеной.

Главный вывод простой: проблема обычно не в шифровании, а в управлении набором доменов и дисциплине выпуска. Где это делают вручную, там потом и чинят руками.