为根域生成CSR(包括www或不包括？)

Question

我想第一次设置SSL.我从Gandi.net购买了我的域名和SSL证书.他们的文档说

subdomain.example.com表示要保护的子域.这是最重要的部分.如果要激活单地址证书,则应放入完整的子域(例如foo.example.com).www子域名由CA自动添加,例如,example.com将保护example.com和www.example.com.如果您有通配符证书,则应为子域名添加*(例如*.example. COM).通配符证书还保护原始域(没有子域).- http://wiki.gandi.net/en/ssl/csr

我在Heroku上托管我的应用程序,他们的文档说:

Common Name字段必须与安全域匹配.您无法为根域购买证书,例如example.com,并期望保护www.example.com.反之亦然.此外,SSL端点仅支持每个应用程序一个证书.请记住多域应用程序并指定与所有必需域匹配的公共域.- https://devcenter.heroku.com/articles/ssl-endpoint#acquire-ssl-certificate

这些似乎有冲突.请指教!

Answer 1

您将需要从支持Subject Alternate Name X.509扩展名的权限获取证书.

这将允许您获取其Common Name设置为的域www.mydomain.com,并将Alternate Name设置为mydomain.com(如Lloeki所述,您应该将这两个名称作为备用名称).

Answer 2

这取决于您选择购买证书的证书颁发机构 (CA)。其中一些提供备用域名，包括“www”之类的选项，其中一些则没有。

正如您在上面所写的：

我在 Heroku 上托管我的应用程序，他们的文档说：

通用名称字段必须与安全域匹配。您无法为根域（例如 example.com）购买证书并期望保护 www.example.com。反之亦然。此外，SSL Endpoint 仅支持每个应用程序一个证书。对于多域应用程序，请记住这一点，并指定一个与所有必需域匹配的公共域。- https://devcenter.heroku.com/articles/ssl-endpoint#acquire-ssl-certificate

这是真的 - 因为 yourdomain.com 和 wwww.yourdomain.com 被视为不同的域（多域），并且必须信任您的证书才能识别它们。因此，在生成 CSR 字符串之前，请仔细阅读 CA 提供的 CSR 字符串要求和功能。