通配符SSL子域轉發

Question

我的網站有問題。 我有一個Web服務，當用戶創建帳戶時，他們會獲得自己的子域（例如：john.example.com）

一切都按預期正常運行，我有一個通配符SSL證書，可以在以下情況下正常運行：

https://john.example.com/

但

如果用戶輸入www.john.example.com，Chrome將停止與該站點的連接並顯示SSL錯誤，說明：

無法連接到真實的www.john.example.com

當前有一些干擾您與www.john.example.com的安全連接。

嘗試在幾分鍾內或切換到新網絡后重新加載此頁面。 如果您最近已連接到新的Wi-Fi網絡，請先完成登錄，然后再重新加載。

如果您現在要訪問www.john.example.com，則可能與攻擊者共享私人信息。 為了保護您的隱私，Chrome不會加載該頁面，除非它可以建立與真實www.john.example.com的安全連接。

這僅在Chrome中發生。 如果我在Firefox或IE中轉到URL www.john.example.com，則連接已完成，並且htaccess將用戶轉發到https://john.example.com ，但是Chrome沒有給服務器提供機會。

如何為用戶解決此問題？

我是否需要為www。*。example.com購買另一個通配符SSL證書？

Answer 1

這是通配符SSL證書的固有限制-如一個通配符成分*在*.example.com只能更換單個主機名組分（像john ），而不是多個級別（比如www.john ）。 您將需要對網站進行結構設計，以使其不會通過www鏈接到這些子域； 或者，如果必須的話，也可以不使用HTTPS。

您很可能無法獲得對這些子域有效的通配符證書。 SSL CA很少願意像您所考慮的那樣簽署不尋常的通配符證書（ www.*.example.com ）。

Answer 2

我是否需要為www。*。example.com購買另一個通配符SSL證書？

即使您能夠購買此類證書，瀏覽器也不會接受。 僅在最左側的標簽中允許使用通配符，請參閱RFC6125第6.4.3節。 這意味着，沒有www.*.example.com ，沒有*.*.example.com而只有*.site.example.com 。