Apache SSL: AH01909 RSA certificate configured

Apache günlüğünde AH01909: ... RSA certificate configured for alanadi.com:443 does NOT include an ID which matches the server name uyarısı görüyorsanız, sanal konakta tanımlı ServerName ile sertifikanın içindeki alan adları uyuşmuyor demektir. Sunucu çoğu zaman çalışmaya devam eder, ancak tarayıcılar ad uyuşmazlığı hatası gösterebilir.

Belirtiler

• Apache başlarken veya yeniden yüklenirken logda AH01909 uyarısı.
• Tarayıcıda "ERR_CERT_COMMON_NAME_INVALID" benzeri ad uyuşmazlığı ekranı.
• Bir sanal konak sertifikası başka bir alan adına ait görünüyor.

Olası nedenler

• ServerName değeri sertifikadaki CN/SAN listesinde yok (ör. sertifika www.alanadi.com için, yapılandırma alanadi.com).
• Yanlış sertifika dosyası farklı bir VirtualHost bloğuna yazılmış.
• Sertifika yalnızca tek alan adı kapsıyor, kök alan adı SAN'da yok.

Çözüm

1. Sertifikadaki adları listeleyin:

   openssl x509 -in alanadi.crt -noout -subject -ext subjectAltName
   

2. Bu listede bulunan adı ServerName veya ServerAlias olarak kullanın:

   <VirtualHost *:443>
       ServerName www.alanadi.com
       ServerAlias alanadi.com
       SSLEngine on
       SSLCertificateFile    /etc/ssl/certs/alanadi.crt
       SSLCertificateKeyFile /etc/ssl/private/alanadi.key
   </VirtualHost>
   

3. Her alan adı için ayrı sertifika gerekiyorsa her VirtualHost'a kendi dosyasını atayın.
4. apachectl configtest ile doğrulayıp servisi yeniden yükleyin.

Kalıcı çözüm

Hem kök hem www adını tek sertifikada toplamak için SAN destekli bir sertifika alın; birden fazla alt alan adı için wildcard SSL uygun olabilir. Uygun ürünü seçmekte zorlanırsanız SSL seçim rehberine bakın. Sertifikayı sipariş ederken CSR'ı doğru alan adıyla üretmek için CSR oluşturucu işinizi kolaylaştırır.

Ek ipuçları

Uyarı yalnızca belirli bir sanal konak için çıkıyorsa, varsayılan (ilk tanımlı) sanal konak sertifikasının diğer adlar için de kullanıldığını unutmayın. SNI destekli sunucuda her ServerName için ayrı blok ve doğru sertifika tanımlayın. Sertifikadaki adı kontrol etmeden CN'e güvenmeyin; modern tarayıcılar yalnızca SAN alanına bakar.