Сертификат SSL IIS 6.0
У меня проблема с одним из наших сайтов. Я недавно приобрел и обновил сертификат SSL, установленный на нашем сервере под управлением IIS 6.0:
Теперь каждый раз, когда кто-то заходит на наш сайт, мы получаем эту (типичную) ошибку:
Однако, когда вы нажимаете на сам сертификат, он говорит, что он действителен:
Я здесь в растерянности. Я тестировал его в IE, Firefox и Chrome, и получил тот же результат. Сертификат SSL выдается на правильный адрес, кстати. Любые идеи?
Ошибка на снимке экрана указывает не на то, что сам сертификат недействителен, не может быть проверен или установлен неправильно, а на то, что часть URI хоста (например, имя DNS или IP-адрес, если IP-адрес был введен для доступа к site) не соответствует теме CN (каноническое имя) или SAN (альтернативное имя субъекта) в сертификате. Увы, вы вычеркнули всю информацию, которая помогла бы понять, почему именно это происходит в вашем случае, но это легко объяснить в общих чертах.
Если сертификат выдается на www.example.tld, и доступ к сайту осуществляется с помощью https://example.tld, сертификат не будет подтвержден. Верно и обратное: если он выдается на example.tld, он не будет подтвержден при представлении для проверки https://www.example.tld.
Одним из решений этой проблемы является область SAN. Это позволяет вам указать несколько имен, для которых сертификат действителен, чтобы вы могли представить его для каждого указанного вами домена и поддомена. Однако, если имя не упомянуто в сертификате (или пользовательский агент ужасно устарел и не понимает SAN), сертификат недействителен.
Подстановочные сертификаты - второе решение этой проблемы. Они будут проверять все поддомены домена. Например, www.example.com, example.com, и mail.example.com могут предоставить действительный сертификат с предметным CN example.com с SAN *.example.com.
IP-адрес сайта также может быть предметом CN или SAN для сертификата, что позволяет вашему SSL-сертификату быть действительным даже при доступе к сайту с помощью чего-то вроде https://192.0.2.1/. Редко, когда поставщики делают это, и никто не будет этого делать, если IP-адрес не записан как назначенный вам или вашей организации (а не вашему интернет-провайдеру) в соответствующих записях RIR или, по крайней мере, в записях WHOIS, как делегировано.
Одна из этих причин может стать причиной того, что предоставленный вами сертификат не тот.