Subject Alternative Name

Subject Alternative Name (SAN) — расширение сертификата X.509, содержащее идентификаторы субъектов, которым соответствует открытый ключ сертификата. На практике чаще всего в SAN перечисляют DNS-имена веб-узлов; также поддерживаются IP-адреса, URI, адреса электронной почты и другие типы имён. Клиент TLS обычно проверяет имя узла именно по полю SAN. Идентификатор должен соответствовать имени, использованному при подключении, по правилам проверки имени: wildcard может покрывать подходящие DNS-имена, а DNS-имя и IP-адрес являются разными типами идентификаторов. Один сертификат может содержать несколько значений SAN, что позволяет обслуживать несколько имён на одном конечном узле TLS. SAN используют для HTTPS, внутренних API, почтовых и иных TLS-служб, когда один сертификат нужен для нескольких FQDN. При выпуске сертификата центр сертификации проверяет право заявителя на управление каждым именем согласно выбранному методу валидации. SAN отличается от Common Name: CN — историческое поле субъекта сертификата, тогда как современные проверки имени ориентируются на SAN. SAN также не равнозначен wildcard-сертификату: wildcard-сертификат содержит в SAN DNS-идентификатор с шаблоном вида *.example.com; в том же SAN могут находиться и явно перечисленные идентификаторы.