DNS 重定向是否可以解决意外子域上的 SSL 证书错误？

Question

（类似于this question，但有不同之处）。

IIS 6，如果证明适用的话。

因此，我们获得了为 www.foo.com 签名的证书，当然 foo.com 的 HTTPS 请求会引发证书警告。一些问题：

• 为 foo.com 请求添加 DNS CNAME 以指向 www.foo.com 是否可以解决问题？
• 如果不是，下一个最好的方法是什么？我已经看到通配符证书并将 SubjectAlternativeNames 添加到证书中。各有优缺点，还是两者都同样有效？
• 即使添加 DNS CNAME 会起作用，它是“正确”的方法吗？

Answer 1

DNS CNAME 不起作用 --- 浏览器根据证书验证 URL 中给出的主机名，并且对是否通过跟随 CNAME 到其他地方来解析主机名不感兴趣。

我不确定 CA 是否发布了很多通配符证书，或者对它们的支持是什么。如果 CA 准备这样做，则可以选择使用 foo.com 作为 SubjectAlternativeName 创建证书。我认为现在浏览器对此的支持已经很普遍了。