Không khớp tên máy chủ: lỗi Common Name và SAN SSL
· Đội ngũ CSR.plus
- •Trình duyệt so khớp tên máy chủ với Tên thay thế chủ thể (SAN), không phải trường Tên chung (CN) cũ.
- •Chứng chỉ một tên miền bao phủ chính xác một máy chủ; wildcard bao phủ một cấp tên miền phụ; SAN bao phủ một danh sách.
- •Cách sửa gần như luôn là cấp lại với danh sách SAN đúng, không phải thay đổi cấu hình máy chủ.
Cách so khớp tên máy chủ hoạt động
Khi bạn truy cập www.example.com, trình duyệt thu thập các mục SAN của chứng chỉ và kiểm tra xem có mục nào khớp. Trường Tên chung bị trình duyệt hiện đại bỏ qua. Chứng chỉ cho example.com không bao phủ www.example.com — chúng là các tên máy chủ khác nhau. Đây là nguồn nhầm lẫn phổ biến nhất đằng sau lỗi không khớp tên máy chủ.
Wildcard và chứng chỉ SAN
Wildcard *.example.com bao phủ www.example.com và mọi tên miền phụ một cấp, nhưng không bao phủ example.com và không bao phủ cấp sâu hơn như a.b.example.com. Chứng chỉ SAN (nhiều tên miền) có thể liệt kê nhiều máy chủ khác nhau. Nếu cần cả example.com lẫn www.example.com, hãy yêu cầu SAN gồm cả hai, hoặc wildcard cộng tên miền trần.
Cách sửa đúng
Cấp lại chứng chỉ với chính xác tên máy chủ bạn phục vụ, bao gồm tiền tố www nếu bạn chuyển hướng tới đó. Sau đó triển khai chứng chỉ mới và chuỗi đầy đủ. Kiểm tra SAN đang phục vụ bằng openssl x509 -in cert.pem -noout -text | grep -A1 "Subject Alternative Name". Đừng "sửa" bằng cách ghi đè máy chủ: chứng chỉ phải bao phủ tên máy chủ mà khách truy cập thực sự kết nối.
FAQ
Tại sao chứng chỉ hoạt động trước đây?
Trình duyệt và hệ thống cũ dùng trường CN khi thiếu SAN. Trình duyệt hiện đại yêu cầu SAN, nên chứng chỉ cũ không SAN giờ lỗi.
Tiền tố www có quan trọng không?
Có. example.com và www.example.com là các tên máy chủ khác nhau. Dùng SAN hoặc wildcard bao phủ cả hai, hoặc chuyển hướng cái này sang cái kia.
UptimeRobot
Giám sát SSL và thời gian hoạt động miễn phí
UptimeRobot theo dõi chứng chỉ và endpoint của bạn 24/7 — 50 monitor ở gói miễn phí.
Liên kết affiliate — chúng tôi có thể nhận hoa hồng mà bạn không phải trả thêm chi phí.
Công cụ SSL/TLS miễn phí
Xác minh và kiểm tra chứng chỉ của bạn trong vài giây.