RFC 9525 описывает проверку идентичности службы в TLS. В SAN тип dNSName относится к DNS-имени, iPAddress - к IP. Документ не использует Common Name как замену этому механизму проверки. Название поля и тип значения важны отдельно от срока действия сертификата.

Сверяйте имя, к которому обращается клиент

Сначала запишите ожидаемое имя службы, затем сопоставьте его с идентификаторами предъявленного сертификата. Нельзя принять другое имя только потому, что оно ведет на тот же сервер. CNAME не добавляет псевдоним автоматически в сертификат.

Если проверяется соединение по IP, не предполагайте, что DNS-имя в SAN подтверждает этот адрес как IP-идентификатор. Уточните формат сертификата и требования клиента. Ошибка несовпадения не повод выключать проверку имени.

Что покрывает wildcard

По правилам RFC 9525 звездочка занимает целиком крайнюю левую метку и сопоставляется с одной меткой. Учебный шаблон *.example.com может соответствовать shop.example.com, но не example.com и не a.shop.example.com. example.com зарезервирован для примеров по RFC 2606.

Нужное имяВопрос к составу сертификата
Корень доменаЕсть ли отдельный подходящий идентификатор?
Один поддоменСоответствует ли точному имени или допустимому wildcard?
Вложенный поддоменНе принят ли ошибочно wildcard одного уровня?
IP-адресПроверяется ли подходящий тип iPAddress?

Таблица не обещает выпуск любого сочетания у каждого центра сертификации. Условия услуги, число идентификаторов и порядок подтверждения узнают отдельно.

Имена - только часть проверки

Сопоставление SAN не заменяет проверку доверия, цепочки и срока. Даже подходящее имя не означает безопасную работу приложения, а действующий сертификат для другого имени не становится подходящим после смены DNS.

Для переноса сохраните список обязательных имен и ожидаемых точек TLS. Проверьте, кто отвечает за обновление состава и продление. Публиковать закрытый ключ ради обсуждения SAN не нужно: передавайте только безопасные сведения о публичном сертификате.

Механизм выбора имени при соединении объясняется в SNI, общий протокол - в TLS. Источники прочитаны 7 октября 2026 года, сертификаты и ключи не создавались, рабочие домены не проверялись. Для выбора услуги есть раздел SSL, для сокращений - словарь.