具有 ssl 证书 www.mydomain.com 的域的 Cname 或 A 记录

Question

我们有两条 A 记录指向相同的公共 IP 地址：

• www.example.com IN A 192.*.*.*
• example.com IN A 192.*.*.*

我们有威瑞信颁发给www.example.com的证书。现在，当用户输入https://www.example.com/xyz 时，一切正常。

但是当我们使用https://example.com/xyz时，浏览器会抛出错误：

“本网站的安全证书有问题”

如果他们信任并想要继续，请用户做出决定。

现在最好的做法应该是：

1. 更改证书并获取通配符证书*.example.com

2. 在 DNS 中使用以下设置：

   • www.example.com IN A 192.*.*.*
   • example.com IN CNAME www.example.com

3. 如果用户键入example.com/xyz 到www.example.com/xyz，则在.Net 管道中编写一个HTTP 模块以重定向用户。我知道不建议这样做。

我们想做类似chase.com 正在做的事情。如果您输入chase.com，它会将您带到https://www.chase.com/。

Answer 1

以上都不是。您应该获得涵盖两个域的 SSL 证书：www.mydomain.com 和 mydomain.com。

根据您的建议：

1) 拥有*.mydomain.com 的单个域的通配符证书在打开没有任何前缀的 mydomain.com 时仍然会给您一个错误。您当然可以获得*.mydomain.com 和mydomain.com 的多域证书

2) 为了 SSL，CNAME 或 A 无关紧要 - DNS 用于获取您的网络服务器的地址（A 记录），之后浏览器仍然希望 SSL 证书与您在地址栏中键入的内容完全匹配.

3) 这适用于 http 请求，但是当用户键入 https://mydomain.com 时，浏览器会检查 SSL 证书 之前它会处理重定向请求，但仍会显示警告。

附注你有这个问题是因为 CA 行业完全搞砸了。他们的产品页面都看起来像“超级 256 位加密”（证书与加密强度无关）、移动支持（无论是移动还是大型机，证书都是一样的），以及“包含免费站点封条”（网站印章是放置在您网站上的 CA 广告的好名字）。

所有不重要的东西，比如它是 CRL 还是 OCSP，或者它涵盖了哪些域名 - 从未提及。