订购可以从服务器证书派生的SSL *通配符*证书

Question

我们的HTTPS服务器都需要SSL通配符证书，所有这些证书都属于“* .domain.com”。

那么我们是否可以从订购的通配符证书中获取服务器证书？

原因：如果服务器遭到入侵，我们必须能够仅为这一台服务器撤销证书。使用从相同通配符证书派生的证书的所有其他服务器应继续工作。

是否可以购买这样的通配符证书？有什么建议吗？

Answer 1

不，您无法从购买的SSL证书中获取其他证书。使用证书签署其他证书的能力主要由Basic Constraints证书扩展控制。此扩展由两个组件组成，其中一个组件（isCA属性）确定此证书是否可以用于签署其他证书。

购买SSL证书时，您将获得isCA = false证书扩展中Basic Constraints值的证书。

如果要控制每个服务器的证书吊销，则必须为每个服务器购买单独的证书（通配符或特定主机名）。

Answer 2

不，这根本不可能。订购SSL证书后，您无法更改基本域。

您可以评估两种可能的解决方案。

1. 联系您的SSL证书颁发机构并取消该订单（仅当您的订单符合退款政策时），请求退款并重新订购您希望获得的Wildcard域名的SSL。

   < / LI>

2. 获取多域通配符SSL证书，它将允许您保护多个域和子域。