SAN (Subject Alternative Name) sertifikaları tek sertifikada birden fazla alan adı barındırır. Listede olmayan bir adla bağlanıldığında tarayıcı uyuşmazlık hatası verir. Sorun genellikle "unutulan" bir ad, yeni eklenen bir alt alan adı veya CSR'daki SAN bilgisinin CA tarafından yok sayılmasıdır.
Sertifikadaki listeyi okuma
openssl x509 -in sertifika.crt -noout -ext subjectAltNameÇıktı örneği: DNS:example.com, DNS:www.example.com, DNS:mail.example.com. Kullandığınız her ad bu listede tam olarak bulunmalıdır. Tarayıcıda ayrıntıya girerek de aynı listeyi görebilirsiniz.
Olası nedenler
- Yeni bir alt alan adı yayına alındı ama sertifika eski listeyle kaldı.
- Sipariş sırasında SAN sayısı yetersiz seçildi.
- www / kök alan adı çiftinden biri eklenmedi.
- CSR içinde SAN varsa bile CA, kendi sipariş formundaki listeyi esas alır.
- Yanlış yazılmış ad (yazım hatası,
.com.tryerine.com).
Çözüm adımları
- Kullanılacak tüm adların eksiksiz listesini çıkarın.
- Sertifikayı, yeni adları ekleyerek yeniden yayınlatın (reissue) ya da gerekiyorsa SAN sayısını artırın. Her yeni ad için alan adı doğrulaması yapılması gerekir.
- Yeni sertifikayı ve ara sertifika paketini sunucuya kurup servisi yeniden yükleyin.
- Her ad için ayrı ayrı bağlanıp SAN listesinin eşleştiğini test edin:
openssl s_client -connect example.com:443 -servername mail.example.com < /dev/nullÖnleme
Yeni bir hizmet açmadan önce sertifika kapsamını kontrol edin. Adlar sık değişiyorsa wildcard bir çözüm olabilir; yine de tek bir seviyeyi kapsadığını unutmayın. Özel SAN içeren bir CSR üretmek için CSR oluşturucuyu kullanabilir, ürünleri SSL sertifikaları sayfasında karşılaştırabilirsiniz.