Самоподписанный сертификат перестал приниматься в Chrome

Выпиши нормальный сертификат.

У меня нормальный сертификат. Я не собираюсь выписывать заново сертификаты для кучи серверов только потому, что какой-то дядя что-то там обновил и в результате у меня все грохнулось. И не только у меня, на let's encrypt такие же проблемы. Как отключить эту идиотскую фичу, которую внедрили в Chrome?

У меня нормальный сертификат.

Нет. В нормальных сертификатах заполняют Alternative Names.

Нет у ЛЕ-сертификатов такой проблемы.

Может тебе сделать сертефикаты с «Subject Alternative Name extension», а в браузере ничего не трогать?

Не обязательно. В некоторых случаев хватает только CN

Доменное имя в CN — это ЕМНИП старый грязный хак, который работает ещё только по воле соместимости с глюкадромами прошлого.

Доменное имя в CN — это ЕМНИП старый грязный хак

это почему? Он же для этого и был придуман.

Тут вот неплохо описано: http://stackoverflow.com/questions/5935369/ssl-how-do-common-names-cn-and-sub...

TL;DR: Although the use of the Common Name is existing practice, it is deprecated and Certification Authorities are encouraged to use the dNSName instead. (RFC 2818)

Не обязательно. В некоторых случаев хватает только CN

А в некоторых уже не хватает. Все нормальные CA заполняют. В RFC 2818 для HTTPS давно (17 лет!) объявлено устаревшим. Так что стоны не понятны.

так не сказано почему это «грязный хак»

Потому что в commonName может быть что угодно, а не только доменное имя.

5.4. cn

   This is the X.500 commonName attribute, which contains a name of an
   object.  If the object corresponds to a person, it is typically the
   person's full name.

Ref: https://www.ietf.org/rfc/rfc2256.txt

Теоретически - да. Но на практике и Firefox и Chrome всегда требовали, чтобы значение CommonName было поддомен, к которому относится сертификат. Иначе - отфутболивали. Зачем надо было это дело ужесточать, требовать еще каких-то левых параметров, не понимаю.

Скорее практически — ты сам на это нарвался. CN проверяется только, если не установлен SAN. И всё идёт к тому, что будет ещё жёстче.

k@null ~ % cat /etc/chromium/policies/managed/EnableForLocalAnchors.json { «EnableSha1ForLocalAnchors» : true, «EnableCommonNameFallbackForLocalAnchors» : true}