我可以对 *.domain.com 和 domain.com 使用相同的通配符认证吗

Question

您可以使用 *.domain.com 作为名称来制作 SSL 证书。

但不幸的是，这不包括https://domain.com

有什么解决办法吗？

Answer 1

我似乎记得 *.domain.com 实际上违反了 RFC（我认为只有 lynx 会抱怨：）

在subjectAltName:dNSName名称字段中创建一个以 domain.com 作为 CN 和 *.domain.com 的证书- 有效。

对于 openssl，将其添加到扩展中：

subjectAltName          = DNS:*.domain.com

Answer 2

不幸的是，您不能这样做。处理子域通配符的规则类似于有关子域 cookie 的规则。

www.domain.com       matches    *.domain.com
secure.domain.com    matches    *.domain.com
domain.com      does not match  *.domain.com
www.domain.com  does not match  domain.com

要处理此问题，您必须获得两个证书，一个用于*.domain.com，另一个用于domain.com。您将需要使用两个单独的 IP 地址，并且两个虚拟主机分别处理这些域。