#Что происходит и когда применима инструкция
После подключения нового CDN сайт начинает выдавать сертификат не для своего домена или браузер сообщает об ошибке HTTPS. Здесь нужно проверить сертификат на внешней точке CDN, право владения доменом, DNS и защищённость соединения CDN→исходный сервер.
#Основные причины и их признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Домен не активирован на CDNДобавлен CNAME, но пользовательский домен не подтверждён в кабинете CDN. | Внешний узел показывает служебный сертификат провайдера | Проверьте статус домена и выпуска внешнего сертификата. |
| Часть DNS ведёт на старую сетьСмешаны прежний A/AAAA, CNAME и старый провайдер. | На одних устройствах HTTPS верен, на других чужой | Сравните адреса и распространение DNS. |
| Путают внешний и origin-сертификатCDN использует два независимых TLS-соединения: браузер→CDN и CDN→origin. | Браузер ругается, хотя на исходном сервере сертификат верен | Исправьте именно повреждённое соединение. |
#Пошаговая диагностика и устранение
- Определите, какой сертификат видит клиентОткройте проблемный HTTPS-адрес, сохраните имя сертификата и текущее время. На внешнем компьютере проверьте соединение через SNI; не вводите на странице пароли, пока сертификат не подтверждает нужный домен.
- Проверьте подключённый домен в CDNВ кабинете выбранного CDN найдите список доменных имён, текущий статус активации и сертификата на внешней стороне. Названия меню различаются по провайдерам; не рассчитывайте, что подключённый CNAME автоматически выпускает сертификат на любом тарифе.
- Сверьте DNS и делегированиеПроверьте A/AAAA/CNAME и реальные NS домена. При смене CDN убедитесь, что к старому провайдеру не ведёт альтернативный адрес. Если текущая запись всё ещё распространяется, не удаляйте Origin-ресурсы до стабилизации.
- Терминал с dig, только чтениеLinux · Терминал (Bash)КомандаТерминал с dig, только чтение. Не все домены имеют CNAME на корне; проверьте особенности DNS-провайдера.
dig +short example.com A; dig +short example.com AAAA; dig +short www.example.com CNAME
- Проверьте SAN внешнего сертификатаЗапросите сертификат выбранного публичного имени и посмотрите его SAN, срок и издателя. Если там технический домен CDN, причина на внешнем узле; изменение файла сертификата Nginx за CDN само по себе не устранит ошибку.
- Терминал с OpenSSLLinux · Терминал (Bash)КомандаТерминал с OpenSSL. Не используйте
-verify_return_errorкак единственный тест совпадения имени; отдельно проверяйте SAN.openssl s_client -connect example.com:443 -servername example.com -showcerts -verify_return_error </dev/null
- Проверьте защищённый доступ CDN к originЕсли внешняя сторона исправна, но CDN сообщает о невозможности подключиться к origin, сравните имя Origin, порт, SAN сертификата исходного узла и режим TLS CDN. Не переходите на незашифрованный origin лишь для обхода ошибки, если безопасность требует HTTPS.
- Проверяйте origin без публичной смены DNSПри известном IP исходного сервера используйте
curl --resolve, сохранив правильное доменное имя в SNI/Host. Для Origin с отдельным именем используйте именно это имя и проверьте, что он поддерживает данное размещение.Linux · Терминал (Bash)КомандаТерминал c curl. Адрес 192.0.2.10 — пример, подставьте настоящий IP Origin; не добавляйте -k.curl -Iv --resolve origin.example.com:443:192.0.2.10 https://origin.example.com/
- Исправьте только ошибочный уровеньЕсли домен CDN не активирован — подтвердите права и дождитесь выпуска сертификата; если внешний сертификат активен, а origin TLS нет — исправьте происхождение или его сертификат. Сохраните DNS, настройки CDN и путь отката на предыдущего провайдера.
- Испытайте все варианты имени и адресовПроверьте сайт с www и без него, по IPv4/IPv6 и с двух сетей. Убедитесь, что цепочка доверена, страницы и запросы API не меняют домен, а сертификат на Origin остаётся валиден для соединения CDN→Origin.
#Проверка результата
CDN выдаёт доверенный сертификат с нужным SAN всем клиентам, Origin принимает безопасное соединение, а DNS больше не отправляет часть пользователей на чужой HTTPS-сервер.
#Если решить проблему не удалось
Если браузер продолжает видеть старый сертификат только у одного интернет-провайдера, сохраните его IP и SNI-проверку, сравните DNS и независимые узлы CDN; не заявляйте, что проблема обязательно в кеше браузера.