证书只签了根域 打开 www 报证书名称不匹配

现象#

https://example.com 正常，加上 www 后 Chrome 报 NET::ERR_CERT_COMMON_NAME_INVALID，SSL Labs 扫描显示证书 SAN 里没有 www。

原因#

• www 的 CNAME 缺失或指向旧主机，Shopify 只会为真正指向自己的主机名签发证书。
• 证书按域名逐个签发，根域与 www 是两张独立证书，不存在自动合并。
• www 被 CDN 或代理接管后回源换了另一张证书，浏览器看到的 SAN 自然对不上。
• 后台只添加了根域，www 从未出现在 Domains 列表中。

处理步骤#

1. 执行 dig www.example.com CNAME，应返回 shops 地址。
2. 在 Settings > Domains 确认 www 也在列表里，状态为 Connected。
3. 用 openssl s_client 查 www 实际下发的 SAN。
4. 把 www 从后台移除后重新添加，触发一次新的签发。
5. 执行 curl -I https://www.example.com，确认返回 200 或单次 301。

验收标准#

openssl 输出的 SAN 同时包含根域与 www，浏览器锁标正常，SSL Labs 无名称不匹配告警。