SAN Extractor

O Extrator de SAN puxa todos os Subject Alternative Names de certificados X.509, fornecendo uma lista limpa de todos os nomes de host, endereços de IP, endereços de email e URIs que o certificado é válido para -- crítico porque navegadores modernos usam SANs exclusivamente para validação de nome de host, ignorando o campo Common Name. Cole um ou mais certificados PEM e obtenha um inventário completo de identidades cobertas.

Entendendo Subject Alternative Names

Subject Alternative Names é a forma como certificados modernos declaram quais identidades eles protegem. Toda vez que um navegador se conecta a um site HTTPS, ele verifica a extensão SAN do certificado para ver se o domínio na barra de endereço está listado. Se não estiver, a conexão falha com um erro de falta de correspondência de nome de host -- até mesmo se o domínio aparece no campo Common Name mais antigo. Este tem sido o comportamento no Chrome desde versão 58 (2017), e todos os outros navegadores principais seguem a mesma regra.

Para sysadmins, o impacto prático é significativo. Você precisa saber exatamente quais domínios um certificado cobre antes de implantá-lo, antes de renová-lo, e ao solucionar problemas de falhas de conexão. Um certificado para www.example.com poderia também cobrir example.com, api.example.com e cdn.example.com, ou poderia apenas cobrir o subdomínio puro www. Você não pode dizer apenas pelo nome do arquivo de certificado ou pelo Common Name. A extensão SAN é a fonte autoritária de verdade para o que um certificado protege.

Este extrator puxa cada entrada SAN de um ou mais certificados e as apresenta como uma lista limpa e organizada. Para entrada de múltiplos certificados (como uma cadeia ou um grupo de certificados não relacionados), mostra quais SANs vêm de qual certificado. Isto torna fácil auditar sua cobertura de certificado através de uma infraestrutura inteira -- cole todos seus certificados e você imediatamente vê cada domínio, endereço de IP e identidade que está protegida.

Como Extrair SANs de um Certificado

1. Cole um ou mais certificados codificados em PEM (começando com -----BEGIN CERTIFICATE-----)
2. A ferramenta extrai e lista todos os Subject Alternative Names, organizados por tipo
3. Revise a lista SAN por completude e precisão
4. Copie a saída como uma lista, padrão regex ou snippet de configuração

Exemplo de Extração de SAN

A partir de um certificado de múltiplos domínios:

Certificado: CN=www.example.com

Subject Alternative Names:
  DNS: www.example.com
  DNS: example.com
  DNS: api.example.com
  DNS: *.staging.example.com
  IP:  203.0.113.50

Tipos de SAN

Saída de Múltiplos Certificados

Quando colando um grupo com múltiplos certificados, o extrator mostra quais SANs vêm de qual certificado:

Quando Usar Esta Ferramenta

• Auditoria de domínio pré-renovação -- liste todos os domínios cobertos por um certificado expirando para garantir que a solicitação de renovação inclua cada SAN
• Mapeamento de cobertura de certificado -- documente quais certificados protegem quais domínios através de sua infraestrutura
• Verificação de cobertura wildcard -- confirme que certificados wildcard (*.example.com) cobrem os subdomínios esperados e identifique o que eles não cobrem (ex: sub.sub.example.com)
• Planejamento de migração -- extraia SANs de certificados existentes ao migrar para uma nova CA ou consolidar certificados
• Revisão de segurança -- identifique domínios inesperados em um certificado que poderiam indicar configuração errada ou compromisso
• Solucionar problemas de falta de correspondência de nome de host -- verifique que o domínio causando um erro TLS está realmente listado nos SANs do certificado

Como Subject Alternative Names Funcionam

A extensão SAN (OID 2.5.29.17) foi introduzida para superar limitações do campo Common Name. Enquanto CN poderia apenas conter um único nome de host, a extensão SAN suporta múltiplos nomes e diferentes tipos de nome.

Comportamento de Navegador CN vs. SAN: Atual

Desde 2017, navegadores principais depreciaram o Common Name para correspondência de nome de host:

• Chrome 58+ -- ignora CN completamente; apenas verifica SANs
• Firefox 48+ -- ignora CN se SANs estão presentes
• Safari -- segue o mesmo padrão

Isto significa um certificado com CN=example.com mas nenhuma entrada DNS:example.com SAN produzirá um erro de falta de correspondência de nome de host em navegadores modernos. Sempre garanta que cada domínio apareça na extensão SAN.

Escopo de Certificado Wildcard

SANs wildcard seguem regras de correspondência específicas:

Regras chave:

• Wildcards apenas correspondem um nível de subdomínio
• Wildcards devem ser o rótulo mais à esquerda (*.example.com, não www.*.com)
• O domínio puro (example.com) é não correspondido por *.example.com -- deve estar listado como um SAN separado

Gerenciando SANs na Prática

O erro mais comum relacionado a SAN é esquecer o domínio puro. Se seus usuários acessam tanto www.example.com quanto example.com, ambos devem aparecer como entradas SAN separadas. Um wildcard *.example.com cobre www.example.com mas não example.com propriamente dito. Isto pega muitas equipes de surpresa quando elas mudam de um certificado apenas wildcard para um que elas esperam cobrir o domínio apex. Sempre inclua tanto example.com quanto *.example.com (ou www.example.com) como entradas separadas.

Para organizações com muitos subdomínios, decidir entre um certificado wildcard e um certificado multi-SAN é uma escolha arquitetural importante. Certificados wildcard (*.example.com) são convenientes porque você não precisa listar cada subdomínio, mas não conseguem cobrir subdomínios mais profundos como api.v2.example.com ou o domínio puro. Certificados multi-SAN listam cada domínio explicitamente, o que dá a você controle completo mas requer atualizar o certificado sempre que você adiciona um novo subdomínio. Muitas organizações usam um wildcard para subdomínios criados dinamicamente e um certificado multi-SAN separado para seus domínios primários.

Ao auditar cobertura de certificado antes de renovações, extraia os SANs de seu certificado expirando e compare-os contra seus registros de DNS. É surpreendentemente comum descobrir que um certificado foi emitido dois anos atrás com SANs que não correspondem mais a sua infraestrutura atual. Novos subdomínios foram adicionados, antigos foram aposentados, e o certificado nunca foi atualizado. Este passo de auditoria previne a situação frustrante de desploiar um certificado renovado apenas para descobrir que ele não cobre um subdomínio que foi adicionado depois que o certificado original foi emitido.

Perguntas Frequentes

Por que meu certificado mostra domínios que não solicitei?

Algumas CAs automaticamente adicionam tanto o domínio puro quanto a variante www. Por exemplo, solicitar um certificado para example.com pode resultar em SANs para ambos example.com e www.example.com. Adicionalmente, certificados multi-domínio (UCC/SAN) podem incluir domínios de pedidos anteriores se eles foram renovados ao invés de reemitidos.

Quantos SANs um único certificado pode ter?

Não há limite difícil no padrão X.509, mas limites práticos existem. Let's Encrypt permite até 100 SANs por certificado. CAs comerciais tipicamente suportam 25--250 SANs dependendo do produto. Listas de SAN muito grandes aumentam o tamanho do certificado e o tempo de handshake TLS.

Um certificado wildcard precisa do domínio puro como um SAN separado?

Sim. Um SAN wildcard *.example.com não corresponde ao domínio puro example.com. Se você precisa que ambos *.example.com e example.com funcionem, ambos devem aparecer como entradas SAN separadas no certificado.

Um certificado pode ter tanto SANs DNS quanto IP?

Sim. Um único certificado pode incluir tanto nomes DNS quanto endereços de IP como SANs. Isto é útil para serviços que são acessados tanto por nome de host quanto por endereço de IP. Porém, a maioria das CAs requerem validação adicional para SANs de endereço IP, e Let's Encrypt atualmente não emite certificados com SANs IP.

Por que meu certificado mostra "falta de correspondência de nome de host" até mesmo embora o CN corresponda?

Navegadores modernos (Chrome 58+, Firefox 48+) ignoram o Common Name para validação de nome de host e apenas verificam Subject Alternative Names. Se seu domínio aparece no CN mas não como uma entrada DNS SAN, navegadores rejeitarão o certificado. Garanta que cada domínio está listado como uma entrada SAN, não apenas no CN.

Como SANs funcionam com subdomínios multinível?

Um wildcard *.example.com apenas corresponde um nível de subdomínio. Ele cobre www.example.com e api.example.com mas não cobre api.v2.example.com. Para subdomínios multinível, você precisa de qualquer uma entrada SAN explícita para cada um ou um wildcard separado como *.v2.example.com.

Ferramentas Relacionadas

• Visualizador de Certificado X.509 - Veja todos os campos de certificado, não apenas SANs
• Verificador de Expiração de Certificado - Verifique quando certificados cobrindo seus domínios expiram
• Visualizador de CSR - Verifique SANs solicitados em um CSR antes de submeter a uma CA
• Divisor de Grupo PEM - Divida uma cadeia para extrair o certificado leaf contendo os SANs
• Extrator de Chave Pública - Extraia a chave pública para certificados cobrindo seus domínios