SSL обычно взрывается не на TLS, а гораздо раньше — на этапе CSR. И вот тут начинается классика жанра: «ну дом

SSL обычно взрывается не на TLS, а гораздо раньше — на этапе CSR. И вот тут начинается классика жанра: «ну домен же один, зачем нам SAN», «wildcard всё покроет», «да я в openssl.cnf руками поправлю, что может пойти не так».

Спойлер: почти всё.

Чаще всего проблемы такие:
— забыли добавить SAN-домены;
— перепутали ожидания от wildcard;
— нагенерили CSR вручную и словили ошибку в конфиге;
— выпустили сертификат, а потом внезапно выяснилось, что половина поддоменов мимо кассы.

И это уже не мелкий косяк, а прямой путь к простоям, предупреждениям в браузере и весёлому разговору с командой в стиле «кто это вообще запускал?» 😅

Самое неприятное: ручной выпуск сертификатов скоро станет почти музейным экспонатом. К 2029 году срок действия SSL хотят сократить до 47 дней. То есть схема «раз в год руками всё переоформим» окончательно умирает.

Вывод простой: если у вас до сих пор CSR собирается как на коленке, без автоматизации и нормального контроля SAN — это не процесс, а мина замедленного действия 🔥