证书域名不匹配会导致浏览器报“您的连接不是私密连接”等错误，核心原因是证书的SAN或CN未包含访问域名；需用openssl检查证书内容，确保ServerName/ServerAlias与SAN严格一致，并注意通配符证书不覆盖根域名、SNI兼容性及多站点证书正确加载。
Apache中SSLCertificateFile配置的证书与域名不匹配，会导致浏览器报“您的连接不是私密连接”、NET::ERR_CERT_COMMON_NAME_INVALID等错误。核心原因是证书的Subject Alternative Name（SAN）或Common Name（CN）未包含当前访问的域名。
确认证书实际覆盖的域名
不要只看文件名或配置路径，需检查证书内容是否真的支持目标域名：
- 用命令查看证书信息：
openssl x509 -in /path/to/your.crt -text -noout | grep -A1 "Subject Alternative Name\|Subject:" - 重点关注
Subject:中的CN=xxx（旧标准，仅支持单域名）和X509v3 Subject Alternative Name:下的DNS:example.com条目（现代标准，支持多域名） - 如果访问的是
www.example.com，但证书只含example.com，且未声明www.example.com，就会不匹配
确保SSL配置中域名与证书一致
Apache虚拟主机配置中，ServerName和ServerAlias必须与证书SAN列表中的域名严格对应：
- 若证书含
DNS:example.com, DNS:www.example.com，则配置中应有：ServerName example.comServerAlias www.example.com - 避免用通配符证书（如
*.example.com）去匹配根域名example.com——它默认不包含主域，需显式添加DNS:example.com到SAN - 重启Apache后，用
curl -I https://your-domain.com或在线工具（如SSL Labs）验证证书是否正确加载并匹配
重新签发或更新证书（常见场景）
当发现不匹配时，通常需更新证书而非修改配置：
立即学习“Java免费学习笔记（深入）”；
- 使用Certbot申请时，用
-d example.com -d www.example.com明确指定所有需要的域名 - 自签名或内部CA证书，需在生成CSR时通过
subjectAltName扩展写入全部域名（OpenSSL配置中启用req_extensions = req_ext并定义[req_ext]） - 更换证书后，务必同步更新
SSLCertificateFile（公钥证书）、SSLCertificateKeyFile（私钥）和SSLCertificateChainFile（中间证书，如使用）
注意多站点共用IP时的SNI问题
同一IP上托管多个HTTPS站点，依赖SNI（Server Name Indication）传递域名信息：
- 确保Apache启用了
mod_ssl且运行在支持SNI的环境中（Apache ≥ 2.2.12 + OpenSSL ≥ 0.9.8j） - 老版本IE（Windows XP）或极旧客户端不支持SNI，可能回退到第一个匹配的虚拟主机证书，造成误报
- 可通过
openssl s_client -connect example.com:443 -servername example.com模拟SNI请求，验证服务端是否返回正确证书
