Самые дорогие ошибки в SSL часто происходят не на этапе TLS-настройки, а раньше — когда создают CSR.

Самые дорогие ошибки в SSL часто происходят не на этапе TLS-настройки, а раньше — когда создают CSR.

Что ломается чаще всего:
— забывают добавить SAN-домены, и сертификат покрывает не все нужные хосты;
— ждут от wildcard того, чего он не умеет: например, он закрывает поддомены одного уровня, но не решает все сценарии;
— вручную правят `openssl.cnf` и получают несоответствие между запросом и реальной выдачей.

Что это значит на практике: сертификат может быть «выпущен», но при этом не работать для части доменов. Ошибка всплывает уже в проде, когда цена простоя выше, чем цена нормального процесса выпуска.

Отдельный риск — сокращение срока жизни сертификатов. К 2029 году планируется снижение до 47 дней. Это делает ручной выпуск почти нежизнеспособным: слишком много повторяющихся действий, слишком высокий шанс ошибки.

Вывод простой: CSR нужно автоматизировать, проверять SAN до выпуска и не полагаться на ручные правки. Чем меньше ручного ввода, тем меньше аварий в проде. 🔧