#Что происходит и как отличить проблему
Наличие действующего сертификата для основного сайта не гарантирует HTTPS на каждом поддомене: для mail.example.com, app.example.com и других имён могут требоваться отдельные записи SAN, отдельная настройка хостинга и привязка сертификата к нужному сайту. Данная инструкция предназначена владельцу домена.
#Возможные причины
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Поддомен не включён в сертификатИмя app.example.com отсутствует в SAN. | Браузер ругается лишь на этот поддомен. | Выпустить сертификат для конкретного имени. |
| Сертификат не назначен нужному узлуDNS ведёт на сервер или прокси, где включён иной сертификат. | Файл сертификата есть, но посетители видят старый/чужой. | Проверить привязку SSL/TLS к поддомену. |
#Пошаговая проверка и устранение
- Убедитесь, что проблема именно в HTTPSВведите в браузере полный адрес https://app.example.com, подставив собственный поддомен. Запишите код ошибки и точное имя из адресной строки. Если браузер пишет об отсутствии соединения, сначала проверьте, существует ли DNS-запись и доступен ли сервер; сертификат не исправит ошибку разрешения имени.
- Проверьте имя и срок сертификатаОткройте информацию о сертификате через интерфейс браузера, не обходя предупреждение. Найдите SAN, даты действия и название выдавшего центра. Если в SAN присутствует только example.com, поддомен app.example.com не покрыт; исключение — подходящий *.example.com для одного уровня вложенности. Имя a.b.example.com такой шаблон обычно не покрывает.
- Проверьте DNS и виртуальный хостВ панели DNS просмотрите A/AAAA/CNAME нужного поддомена. Сохраните их снимок. В панели хостинга проверьте, к какому сайту/проекту привязано это имя и активен ли HTTPS именно для него. Наличие правильной записи DNS не означает, что сертификат назначен нужному виртуальному сайту или внешнему прокси.
- Выпустите или подключите сертификат безопасноОткройте штатный раздел SSL/TLS хостинга, выберите нужный поддомен и выпустите для него сертификат через встроенную систему. Для Let’s Encrypt проверьте доступность проверки владения доменом: HTTP-01 использует порт 80, DNS-01 — TXT-запись; выбор зависит от вашей схемы. Не вставляйте чужие приватные ключи и не используйте случайные генераторы сертификатов.
- Проверьте всю цепочку после назначенияПовторно откройте https://app.example.com, затем соседний рабочий поддомен и основной сайт. Убедитесь, что в каждом месте виден ожидаемый сертификат и не сломалось соседнее имя. Если адрес работает через CDN, проверьте отдельно сертификат на стороне CDN; при ошибке обратитесь к поддержке платформы, сохранив исходную конфигурацию.
#Проверка результата и дальнейшие действия
Успех — поддомен открывается без предупреждения в современном браузере, SAN содержит его точное имя, а остальные сайты работают как прежде. Проверьте работу с мобильной сети, чтобы исключить локальное DNS-кеширование.