为什么证书域名不匹配的 https 网站会被浏览器标记为“安全”？

Question

我有 SSL 的基本知识，可以配置网站 https 证书。
我曾经相信

一个“安全”的 https 网站有很多匹配项（至少是一个通配符 匹配）证书域名

直到今天。

以google.com为例：

• 通过 Chrome 证书查看器：

• 由 openssl 提供

openssl s_client -connect google.com

得到相同的结果：

...depth=0 CN = *.google.com ...

这对我来说就像预期的那样醒来。

但我刚刚发现（实际上是在期待cn.bing.com 时出错）一个网站bing.cn，

• 通过 Chrome 证书查看器：

• 由 openssl 提供

openssl s_client -connect bing.cn

得到不同的结果：

... depth=0 CN = *.wordpress.com ...

这超出了我的知识范围。你能解释一下吗

1. 为什么域名可以与证书不同，但仍然是安全的？
2. 为什么 gui 版本（tls.automattic.com）和命令版本（*.wordpress.com）显示不同的证书域？

Answer 1

Subject 字段已被所有现代浏览器淘汰，它们在Subject Alternative Name 证书扩展中寻找授权名称：

并且bing.cn 由该证书授权。事实上，这个证书可以代表这个扩展中列出的任何名称。