(Bu eski bir soruya yeni bir cevap, çünkü bunun sertifikaların ve CA'nın arkasında "sihir" olmadığını anlamaya yardımcı olduğuna inanıyorum)
@Steffen Ullrich tarafından verilen onaylanmış cevabın bir uzantısı olarak
Web sitesi şey tanımlamak için tüm sertifika sadece büyük bir para iş. X509 sertifikaları (diğerleri arasında) RFC5280 tarafından tanımlanır ve herkes bir kök CA veya bir ara CA olabilir, hepsi bu varlıkla ilgili güveninize bağlıdır.
Örneğin: Bir Active Directory etki alanındaysanız, birincil etki alanı denetleyiciniz varsayılan olarak güvenilir bir kök sertifika yetkilisidir. Bu arada, kesinlikle başka hiçbir üçüncü taraf dahil değildir.
Geniş internette, sorun sadece bir şirketten çok daha büyük olduğu için "kime güvenebileceğiniz" i tanımlamaktır. Bu nedenle, tarayıcı satıcıları, onayınızı istemeden güveneceği özel bir kök CA listesi sağlar.
Yani: Mozilla vakfı ile çok iyi bir ilişkiniz varsa, o zaman kendi keyfi olarak imzalanan kök CA'nız, Firefox tarayıcılarının bir sonraki sürümünde bu listeye eklenebilir ... Sadece karar verdikleri için!
Ayrıca, tarayıcıların sertifikalarla ilgili nasıl davranması gerektiğine ilişkin davranışı ve kuralları tanımlayan bir RFC yoktur. Bu, sertifikanın "CN" değerinin etki alanı adına eşit olması nedeniyle eşleşmesi gerektiği anlamına gelen zımni bir fikir birliğidir.
Bu bir noktada yeterli olmadığından, tarayıcı satıcılarının tümü, formun bir joker karakter sertifikasının *.domain.comherhangi bir alt etki alanıyla eşleşeceği örtük biçimde yaşlanmıştır . Ama sadece bir seviye ile eşleşir: hayır sub.sub.domain.comneden bu? Çünkü sadece karar verdiler.
Şimdi orijinal sorunuzla ilgili olarak, birincil alan adı sertifikanızın kendi alt alan adlarınız için alt sertifikalar oluşturmasına izin verilmesini engelleyen şey, tarayıcının kontrol etmesi kolay bir işlemdir, sadece sertifika zincirini alır.
Cevap: hiçbir şey
(teknik olarak bunu yapmak için kendi alan adı sertifikanızda bir "işaretinizin" olması gerekir)
Broswers satıcıları, bunu yeterince uygun bulurlarsa desteklemeye karar verebilirler.
Ancak, ilk ifademe geri dönersek, bu büyük para işi. Dolayısıyla, tarayıcı satıcılarıyla anlaşmaları olan bu birkaç kök CA, bu listede görünmek için büyük miktarda para harcıyor. Ve bugün, bu parayı geri alıyorlar çünkü her bir alt alan sertifikası için ödeme yapmanız veya çok daha pahalı bir joker karakter almanız gerekiyor. Kendi alt alan adı sertifikalarınızı oluşturmanıza izin verdiyse, bu, kârlarını muazzam bir şekilde azaltacaktır. Bu yüzden bugün itibariyle bunu yapamazsınız.
Eh, hala geçerli, çünkü kesinlikle geçerli x509 sertifikaları olurdu, ancak herhangi bir tarayıcı bunu tanıyamaz.