Наявність правильної DNS-відповіді означає лише те, що клієнт отримав адресу для імені. Для HTTPS сервер ще повинен прийняти TLS-з’єднання та представити відповідний сертифікат. Після цього вебсервер має знайти потрібний віртуальний хост. Якщо один із цих етапів не налаштований, можна побачити помилку довіри, заглушку хостингу або вміст іншого сайту.
Ім’я має відповідати сертифікату
Сертифікат для example.org не обов’язково охоплює www.example.org. Перевіряються імена, зазначені у сертифікаті, його строк дії та ланцюжок довіри. Звичайний wildcard для *.example.org також не замінює окреме покриття кореневого example.org. Тому спочатку складіть список імен, які реально використовуються, а потім випускайте сертифікат для цього набору.
Проксі додає ще одну TLS-ділянку
Коли перед сервером стоїть CDN або зворотний проксі, є з’єднання від браузера до проксі та окреме з’єднання від проксі до origin. Публічний сертифікат проксі не доводить справність сертифіката origin. Так само Origin CA-сертифікат, призначений для довіри конкретного проксі, може не вважатися довіреним у звичайному браузері при прямому доступі.
Послідовність діагностики
- Перевірте, чи основне ім’я і www ведуть до очікуваної інфраструктури.
- Порівняйте сертифікат для кожного імені та його строки.
- Перевірте HTTPS безпосередньо на потрібному віртуальному хості з правильним SNI.
- Якщо є проксі, окремо перевірте режим шифрування між ним і origin.
- Лише після цього налаштовуйте постійні редиректи та додаткові обмеження.
Не виправляйте помилку сертифіката простим вимкненням перевірки для відвідувачів. Тимчасова діагностична перевірка й робоче налаштування безпеки — різні речі. Після оновлення важливо перевірити автоматичне продовження сертифіката: разове успішне відкриття не гарантує, що наступне продовження пройде без перешкод.
Як читати результат перевірки
Якщо браузер відкриває правильну адресу, але повідомляє про недовірений сертифікат, починайте з TLS, а не з текстів сторінки. Якщо захищене з’єднання встановлюється, проте видно заглушку іншого сайту, перевіряйте вибір віртуального хоста та адресу origin. Це різні несправності, навіть якщо для відвідувача обидві виглядають як «сайт не працює».