Wildcard sertifika (*.example.com) her adı kapsıyormuş gibi görünse de kuralları dardır. Hata çoğunlukla sertifikanın aslında kapsamadığı bir adrese erişilmesinden kaynaklanır ve tarayıcıda alan adı uyuşmazlığı olarak görünür.
Wildcard'ın kapsadığı ve kapsamadığı adlar
| Ad | *.example.com ile geçerli mi? |
|---|---|
| www.example.com | Evet |
| panel.example.com | Evet |
| example.com (kök alan adı) | Hayır, SAN'a ayrıca eklenmediyse |
| a.b.example.com | Hayır, yıldız yalnızca tek etiketi kapsar |
| panel.example.org | Hayır, farklı alan adı |
Belirtiler
- www ile açılıyor ama
example.comadresinde uyarı çıkıyor. - İki seviyeli alt alan adlarında (
api.test.example.com) hata veriyor. - Yıldız eklenen bir ad sertifikada
DNS:*.example.comolarak görünüyor ama çok seviyeli ad sorulduğunda eşleşme reddediliyor.
Kontrol
openssl x509 -in wildcard.crt -noout -ext subjectAltNameKök alan adının da listede yer alıp almadığına bakın. Birçok CA, wildcard siparişinde kök alan adını otomatik olarak SAN'a ekler; bu sizin CA'nıza ve ürüne göre değişebilir, bu yüzden çıktıyı mutlaka kontrol edin.
Çözüm
- Kök alan adı eksikse, onu da içeren bir sertifika alın veya yeniden yayınlatın.
- İki seviyeli alt alan adı gerekiyorsa ilgili seviye için ayrı bir wildcard (
*.test.example.com) ya da ayrı sertifika edinin. - Wildcard'ı birden çok sunucuda kullanıyorsanız özel anahtarın her yerde güvenle korunduğundan emin olun.
- Web sunucusunda doğru sertifikanın eşleştiğini SNI ile test edin.
Uygun kapsam için wildcard SSL seçeneklerine bakabilir, ürün seçerken SSL seçim rehberinden yardım alabilirsiniz.