Un certificato può contenere molti nomi, per esempio example.com, www.example.com e cloud.example.com. Da anni i browser controllano solo la lista SAN e ignorano il Common Name (CN). Un certificato con il nome solo nel CN è considerato non valido.
Le wildcard come *.example.com coprono esattamente un livello: cloud.example.com sì, example.com e a.b.example.com no. Per questo l'apex di solito si aggiunge come SAN separato.
Errore tipico: aggiungi un nuovo hostname nel DNS e nel web server ma non riemetti il certificato. Il browser segnala NET::ERR_CERT_COMMON_NAME_INVALID.
Esempio
openssl x509 -in fullchain.pem -noout -ext subjectAltName