SSL_ERROR_BAD_CERT_DOMAIN：Firefox 证书与域名不符怎么修

SSL_ERROR_BAD_CERT_DOMAIN 的意思是：网站证书是签给另一个域名的，不包括你正在访问的这个。 证书本身可能完全有效，只是覆盖不到这个名字。这类问题基本都在服务器端修。

先判断是网站的问题还是你电脑的问题

外部检测的 SAN 列表里没有这个域名，是站长要修；外部检测正确而 Firefox 看到的证书不同，是网络在替网站应答。用 SSL 检测 看证书里有哪些域名：

curl ssl.sh/example.com

网络原因常见的是公共 Wi-Fi 认证页、DNS 过滤、hosts 文件条目，或者替别的网站应答的代理。另外检查一下是不是域名打错了、收藏夹里存的是早就停用的旧域名。

原因

下面 5 种原因归结为一点：证书的 SAN 列表没覆盖访问的域名，或者服务器返回了别的网站的证书。

1. 缺 www 或主域名

证书只覆盖 example.com，没覆盖 www.example.com，或者反过来。查看证书里的域名：

echo | openssl s_client -connect example.com:443 -servername www.example.com 2>/dev/null \
  | openssl x509 -noout -ext subjectAltName

2. 通配符匹配不上

*.example.com 只覆盖一级，不匹配 example.com，也不匹配 dev.api.example.com。

3. 虚拟主机或 SNI 落到了默认站点

请求的域名没有匹配到任何 server 块，服务器就拿默认站点的证书应答，那是别的网站的证书。常见于先把域名解析到服务器、还没在 Web 服务里配置这个站的时候。宝塔面板里要在对应网站的“域名管理”里加上这个域名。

4. CDN 或负载均衡没绑这个域名的证书

阿里云/腾讯云 CDN 的加速域名没开 HTTPS 或没绑证书，节点就返回通用证书。每个加速域名都要绑定能覆盖它的证书。

5. 用 IP 或内网短名访问

输入 https://203.0.113.10 或内网短域名，几乎不可能和证书匹配。用证书签发时的完整域名访问。

在各浏览器/系统上的样子

同一问题在 Chrome、Edge、360 和 QQ 浏览器里是 NET::ERR_CERT_COMMON_NAME_INVALID，curl 报 no alternative certificate subject name matches target host name。

站长怎么修

修法是让证书的 SAN 覆盖访客会用到的每个域名，并让每个域名落到正确的 server 块。

1. 一张证书写全所有域名。 访客会用到的每个域名都申请进去：

sudo certbot certonly --nginx -d example.com -d www.example.com

向商业 CA 申请需要 CSR 的话，CSR 生成器 会帮你把 SAN 写好。在阿里云、腾讯云申请免费单域名证书时，它通常只覆盖你填写的那一个域名（有的会附带 www），多个子域名要分别申请或改用多域名证书。

2. 每个域名对应正确的 server 块。

server {
    listen 443 ssl;
    server_name example.com www.example.com;
    ssl_certificate     /etc/nginx/ssl/example.com.fullchain.pem;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;
}

3. 改完逐个检查。 分别运行 curl ssl.sh/example.com 和 curl ssl.sh/www.example.com，都通过后，用 301 跳转统一到你的首选域名。