КТО СЪЕЛ ВАШ SSL?

КТО СЪЕЛ ВАШ SSL?

Чаще всего — не TLS, а кривой CSR.
Забыли SAN-домен, перепутали wildcard, руками поправили openssl.cnf — и вот уже сертификат выписан, но не на те имена. Классика жанра: всё вроде “почти работает”, пока не прилетает продакшн.

Wildcard тоже не магия.
Он закрывает поддомены, но не решает всё подряд. Если ждёте, что `*.example.com` прикроет и `example.com`, и `api.dev.example.com`, — у аукциона, конечно, есть чувство юмора, но не настолько.

И да, ручной выпуск скоро станет хобби.
Сроки жизни сертификатов уже жмут вниз, а к 2029 году обещают 47 дней. Это значит, что выпуск “на коленке” превращается в вечный ритуал с шансом ошибиться каждый цикл. Автоматизация тут не роскошь, а способ не жить в `openssl` как в CRM. 🔧

Вывод простой:
проверяйте SAN, не переоценивайте wildcard и автоматизируйте выпуск до того, как он начнёт выпускать вас из спокойной жизни.