ssl - 为什么 *.example.com 的 SSL 证书也与 example.com 匹配？

Question

解释:

如果为 example.com 颁发证书，则它可用于 https://example.com

对于 https://www.example.com，必须提供另一个与子域匹配的证书。

显然，*.example.com 的证书很常见，因此一个证书就可以满足您在域下的所有需求，例如ma​​il.example.com, www.example.com, account.exmaple.com 等

但是，我不希望 *.example.com 与 example.com 匹配，但它确实匹配!我想知道为什么。

它是标准的一部分吗？

这只是一种常见的浏览器约定吗？

Answer 1

For https://www.example.com one would have to provide another certificate which will match the sub domain.

事实并非如此。 CA 通常颁发对 example.com 和 www.example.com 都有效的证书

However, I would not expect *.example.com to match example.com and yet, it does! And I wonder why. Is it part of the standard?

检查证书是否包含仅包含“example.com”的 SubjectAlternativeName 扩展名。这是最有可能的答案。

RFC 2818(第 3.1 节)，正如我所读，并没有涵盖 *.example.com 的 example.com ，但这可能是我的解释。