上一篇
https证书检验域名
HTTPS证书通过验证域名所有权确保访问正确性，浏览器比对证书中的域名信息与实际访问地址，匹配则建立安全连接，有效防止钓鱼网站和数据改动
HTTPS证书检验域名的核心逻辑
HTTPS证书的核心作用是验证服务器身份与域名的所有权,浏览器通过以下方式检验证书中的域名是否有效：
证书颁发机构（CA）的验证流程
域名所有权验证
CA通过以下方式确认申请人对域名的控制权：- DNS解析验证：检查域名是否能解析到服务器IP。
- 文件验证：在网站根目录放置特定哈希值文件（如
.well-known/acme-challenge/）。 - 邮箱验证：向域名管理员邮箱发送验证邮件。
生成
- Common Name（CN）：早期证书的核心字段，标识主域名（如
example.com）。 - Subject Alternative Name（SAN）：扩展字段，支持多域名或子域（如
.example.com、www.example.com）。
- Common Name（CN）：早期证书的核心字段，标识主域名（如
浏览器对证书域名的检验规则
| 场景 | 检验逻辑 |
|---|---|
| 域名完全匹配 | 证书中的CN或SAN必须包含当前访问的域名（如example.com匹配example.com）。 |
| 子域名匹配 | 通配符证书（如.example.com）可匹配所有子域（如www.example.com），但不支持根域名。 |
| 多域名证书（SAN） | 证书SAN字段需明确列出所有域名（如example.com和test.example.com）。 |
| 自签名证书或无效CA | 浏览器直接拒绝，提示“不受信任的证书”。 |
常见域名不匹配的原因与解决方案
| 问题现象 | 原因分析 | 解决方案 |
|---|---|---|
| CN/SAN未包含当前域名 | 证书仅覆盖部分域名，未配置SAN或通配符证书。 | 申请新证书，确保所有域名加入SAN字段。 |
| 通配符证书误用 | 使用.example.com访问根域名example.com。 | 单独为根域名申请证书或改用多域名证书。 |
| 中间商/代理服务器导致不匹配 | 反向代理未正确转发证书（如CDN节点与源站证书不一致）。 | 检查代理服务器配置，确保使用正确证书。 |
工具辅助检查
浏览器开发者工具
- 在Chrome/Firefox中按
F12，进入Security标签，查看证书详细信息。 - 重点检查
CN和SAN字段是否包含当前域名。
- 在Chrome/Firefox中按
在线工具
- SSL Labs（https://www.ssllabs.com/ssltest/）：检测证书兼容性及域名配置。
- DigiCert Certificate Inspector（https://www.digicert.com/tools/certificate-inspector/）：解析证书内容并验证域名匹配。
相关问题与解答
问题1：HTTPS证书过期会影响域名验证吗？
解答：
会，证书过期后，浏览器会提示“证书已失效”，即使域名匹配也会阻止访问，需及时续订证书。
问题2：自签名证书能否通过域名验证？
解答：
不能，自签名证书未经过可信CA签发，浏览器会标记为“不受信任”，即使域名匹配也无法通过验证（仅适用于内部测试环境
