Hostname-Mismatch: SSL-Common-Name- und SAN-Fehler
· CSR.plus Team
- •Browser vergleichen den Hostnamen mit den Subject Alternative Names (SANs), nicht mit dem alten Common-Name-Feld (CN).
- •Ein Einzeldomänen-Zertifikat deckt genau einen Host ab; ein Wildcard eine Subdomänen-Ebene; SAN-Zertifikate eine Liste.
- •Der Fix ist fast immer eine Neuausstellung mit korrekter SAN-Liste — keine Serverkonfig-Änderung.
Wie Hostname-Abgleich funktioniert
Wenn Sie www.example.com besuchen, sammelt der Browser die SAN-Einträge des Zertifikats und prüft, ob einer passt. Das CN-Feld wird von modernen Browsern ignoriert. Ein Zertifikat für example.com deckt www.example.com nicht ab — es sind verschiedene Hostnamen. Das ist die häufigste Verwirrungsquelle hinter Hostname-Mismatch-Fehlern.
Wildcards und SAN-Zertifikate
Ein Wildcard-Zertifikat *.example.com deckt www.example.com und jede andere einstufige Subdomain ab, aber nicht example.com selbst und nicht tiefere Ebenen wie a.b.example.com. Ein SAN- (Multi-Domain-) Zertifikat kann mehrere verschiedene Hostnamen auflisten. Brauchen Sie example.com und www.example.com, fordern Sie ein SAN mit beiden an oder ein Wildcard plus die nackte Domain.
Der richtige Fix
Stellen Sie das Zertifikat mit den exakt ausgelieferten Hostnamen neu aus, einschließlich des www-Präfixes, falls Sie dorthin umleiten. Rollen Sie dann das neue Zertifikat und die volle Kette aus. Prüfen Sie die gelieferten SANs mit openssl x509 -in cert.pem -noout -text | grep -A1 "Subject Alternative Name". „Reparieren" Sie das nicht mit Server-Rewrites — das Zertifikat muss den Host abdecken, mit dem sich Besucher verbinden.
FAQ
Warum funktionierte das Zertifikat früher?
Ältere Browser und Systeme nutzten das CN-Feld, wenn SANs fehlten. Moderne Browser verlangen SANs, daher scheitern alte Zertifikate ohne SANs.
Zählt das www-Präfix?
Ja. example.com und www.example.com sind verschiedene Hostnamen. Nutzen Sie ein SAN oder Wildcard für beide oder leiten Sie eines auf das andere um.
UptimeRobot
Überwachen Sie SSL und Verfügbarkeit kostenlos
UptimeRobot überwacht Ihre Zertifikate und Endpunkte rund um die Uhr — 50 Monitore im kostenlosen Plan.
Affiliate-Link — wir können eine Provision erhalten, ohne dass Ihnen zusätzliche Kosten entstehen.
Kostenlose SSL/TLS-Tools
Prüfen Sie Ihre Zertifikate in Sekunden.