故障排除2026-08-15•4 分鐘閱讀

主機名稱不匹配：SSL 通用名稱與 SAN 錯誤

· CSR.plus 團隊

•瀏覽器將主機名稱與憑證的主體別名（SAN）比對，而不是舊的通用名稱（CN）欄位。
•單網域憑證恰好涵蓋一個主機名稱；萬用字元涵蓋一級子網域；SAN 憑證涵蓋清單。
•修復方法幾乎總是帶正確 SAN 清單重新簽發——而不是修改伺服器設定。

CN_INVALID

瀏覽器錯誤

NET::ERR_CERT_COMMON_NAME_INVALID

僅 SAN

比對來源

現代瀏覽器忽略 CN

1 級

萬用字元深度

*.example.com，非 *.*

重新簽發

修復

帶正確的 SAN 清單

主機名稱比對如何運作

當您存取 www.example.com 時，瀏覽器收集憑證的 SAN 條目並檢查是否有比對。現代瀏覽器忽略通用名稱欄位。example.com 的憑證不涵蓋 www.example.com——它們是不同的主機名稱。這是主機名稱不匹配錯誤最常見的混淆來源。

萬用字元與 SAN 憑證

萬用字元憑證 *.example.com 涵蓋 www.example.com 與任何其他單級子網域，但不涵蓋 example.com 本身，也不涵蓋 a.b.example.com 等更深層級。SAN（多網域）憑證可以列出多個不同的主機名稱。如果您同時需要 example.com 與 www.example.com，請申請同時包含兩者的 SAN 憑證，或使用萬用字元加裸網域。

正確的修復方法

用您實際提供的主機名稱重新簽發憑證，包括 www 前置詞（如果您重新導向到它）。然後部署新憑證與完整鏈。用 openssl x509 -in cert.pem -noout -text | grep -A1 "Subject Alternative Name" 檢查實際提供的 SAN。不要用伺服器重寫來「修復」——憑證必須涵蓋訪客實際連線的主機名稱。