Cum îmi semnez propriile certificate SSL, astfel încât acestea să acopere numele de domenii www și non-www?

Când utilizați o autoritate de certificare comercială, generarea unui csr pentru numele comun www.mysite.com iar trimiterea acestora va avea ca rezultat eliberarea unui certificat care funcționează pentru ambii www.mysite.com și mysite.com.

Cererea de semnare este o singură cerere de nume - doar www.mysite.com, deci nu se întâmplă nimic special la nivel csr:

openssl genrsa -des3 -out mysite.com.key 4096

openssl req -new -key mysite.com.key -out mysite.com.csr
nume comun, adică numele dvs.: www.mysite.com

Dar ceea ce se întoarce de la CA comercială este un certificat care funcționează atât pe www, cât și pe non-www.

Întrebare: Cum pot lua un csr care este doar pentru www.mysite.com și, folosind openssl cu propria mea autoritate de certificare, eliberez un certificat care funcționează pentru ambele www.mysite.com și mysite.com, exact cum fac companiile comerciale?

Știu că puteți modifica csr pentru a adăuga mai multe domenii cu un fișier de configurare, dar numai versiunea www este necesară în csr atunci când utilizați o companie comercială. Nu sunt necesare fișiere de configurare cu mai multe domenii.

AC-urile comerciale modifică CSR-ul trimis pentru a include ambele versiuni? Sau există un steag în comanda de semnare care face ca www optional?

Pot modifica această comandă pentru a adăuga atât versiuni www, cât și versiuni non-www, fără a schimba csr-ul?

openssl x509 -req -days 365 -in mysite.com.csr -CA Authority.crt -CAkey Authority.key -set_serial 12345 -out mysite.com.crt

Sau există o modalitate simplă de a adăuga un al doilea domeniu la un csr fără un fisier de configurare?

openssl req -new -key mysite.com.key -out mysite.com.csr
nume comun, adică numele dvs.: mysite.com, www.mysite.com

CSR-ul nu trebuie modificat. Certificatul nu este CSR, nu este o copie a CSR și nu este creat prin semnarea CSR. Certificatul este un obiect nou care conține niste date copiat din CSR și câteva date noi.

În special, CA „comerciale” (LetsEncrypt și CACert, printre altele, nu percep bani, deci nu sunt cu adevărat comerciale) Seteaza Extensia SubjectAlternativeName (SAN). (în certificat) pentru a accepta mai multe nume „DNS” (poate suporta și alte tipuri de nume, dar nu doriți asta aici). Atributul CommonName din numele subiectului nu trebuie să conțin mai multe nume de domenii, deoarece acestea nu pot fi asociate.

În timp ce OpenSSL poate face SAN în mai multe moduri, folosind openssl x509 -req -CA/CAkey simplifică: singura opțiune este de a specifica un -extfile care conține setările dorite. Acesta poate fi necesar să fie un fișier real pe care îl creați în mod explicit, sau pe Unix, în unele shell-uri, puteți utiliza <(comandă) sintaxă pentru a crea un fișier temporar ascuns. Vedea:
Chrome nu are încredere în certificatul autosemnat
Desktopul Chrome și Android refuză să accepte certificatul de încredere autosemnat
https://stackoverflow.com/questions/61125319/node-js-self-signed-certificate-is-still-showing-as-not-trusted-in-my-browser
și multe altele legate la fiecare. (Mulți implică Chrome, deoarece Chrome a fost un major motiv pentru a utiliza SAN, dar metodele de implementare a SAN nu depind de motiv.)