Почему веб-сайт включает в себя как субдомены, так и подстановочный знак в поле SAN?

354
kiiler

Если вы посетите веб-сайт разработчиков XDA и увидите информацию о сертификате, они перечислят как * .XDA-developers.com, так и каждый поддомен отдельно в поле SAN. Если они использовали подстановочный знак, почему они должны перечислять каждый поддомен индивидуально?

enter image description here

0
Скорее всего, у них были отдельные записи, затем они вернулись и добавили подстановочный знак и не удалили конкретные отдельные записи (либо из-за упс, либо, возможно, был монитор Nagios / etc, ищущий api.xda-developers.com в САН и они не хотели его обновлять) bartonjs 5 лет назад 0

1 ответ на вопрос

0
harrymc

Тип сертификата, который вы видите, называется «Многодоменный SSL-сертификат».

Эти SSL-сертификаты защищают разные домены одним сертификатом с использованием расширения SAN. По этой причине эти сертификаты часто называют сертификатами SAN.

Имена SAN, как правило, не обязательно должны принадлежать одному домену. Другими словами, для сертификата совершенно нормально покрывать список имен, подобных следующему:

example.com www.example.com foo.bar.hello.com another.domain.com 

Таким образом, это не субдомены, которые перечислены, а домены сами по себе. Их общим знаменателем является то, что все они защищены этим одним сертификатом SSL.

Меня не удивит, если все эти домены будут размещены на одном веб-сервере, который использует этот же сертификат для всех обслуживаемых им доменов.

Рекомендации :

Но они имеют один и тот же базовый домен. Зачем включать mail.example.com, img.example.com и * .example.com в поле SAN? * .Example.com уже покрывает поддомен mail и img. На изображении, размещенном в вопросе (спасибо), показаны все субдомены и подстановочный знак тоже. Разве это не избыточно? kiiler 5 лет назад 0
Это кто-то был я. Это правда, что это немного расточительно и может быть сделано с `* .example.com`, но это внутреннее решение администратора сайта. Может быть, какой-то непонятный браузер, который они должны поддерживать, не использует подстановочные знаки, или, может быть, администратор просто переопределил это «для хорошей меры». В любом случае, это может быть не элегантно, но это работает для них. Их веб-сайт должен работать на многих устройствах и во многих браузерах и работает хорошо, поэтому мы не можем винить их работу, не зная обстоятельств. harrymc 5 лет назад 0

Похожие вопросы