ssl - DNS 重定向是否可以解决意外子域上的 SSL 证书错误？

Question

(类似于 this question ，但有另一个变化)。

IIS 6，如果它适用的话。

因此，我们获得了为 www.foo.com 签名的证书，当然，对 foo.com 的 HTTPS 请求会抛出证书警告。一些问题:

• 是否可以为 foo.com 请求指向 www.foo.com 的 DNS CNAME 解决问题？
• 如果不是，下一个最佳方法是什么？我看过通配符证书并将 SubjectAlternativeNames 添加到证书中。两者各有利弊，还是同样有效？
• 即使添加 DNS CNAME 可行，这是否是“正确”的方法？

Answer 1

DNS CNAME 将不起作用——浏览器根据证书验证 URL 中给出的主机名，并且对主机名是否通过跟随 CNAME 到其他地方的解析不感兴趣。

我不确定 CA 是否颁发了很多通配符证书，或者对它们的支持是什么。如果 CA 准备这样做，则可以选择使用 foo.com 作为 SubjectAlternativeName 创建证书。我认为现在浏览器对此的支持很普遍。