域名与 SAN 管理

叶子证书只对其 主体备用名称（SAN） 中列出的名称有效。客户端连接时，URL 中的主机名或 IP 必须与其中某个条目完全一致——不支持通配符，也不支持前缀匹配。本页介绍在服务器端管理这份列表；客户端侧的检查见最后一页「客户端严格验证」。

自动发现

服务器会持续发现自己可以被哪些名称访问——当前主机名和活动网卡的地址——并把它们列在 自动发现 下。这些条目跟随机器本身，无法手工编辑：添加网卡或更改主机名后，列表会在下次续签时自动更新。

额外域名和 IP 地址

自动发现并不覆盖所有情况：DDNS 域名、内外网分离的 DNS 记录、NAT 后面的地址，都需要手工添加。在 额外域名和 IP 地址 下添加：

1. 输入主机名或 IP 地址（例如 server.home.arpa 或 10.0.0.8），点击 添加；
2. 对客户端会使用的每个名称重复上述操作。不需要的条目用垃圾桶按钮移除；
3. 检查 最终 SAN 预览——自动发现条目与手工条目合并后的视图，下一张证书将包含这些名称；
4. 点击 保存并重新签发。保存后会用新的 SAN 列表签发一张新的 90 天叶子证书并热加载——现有连接保持不断，新握手立即使用新证书。

手动重签与状态

服务器叶子证书 面板显示当前生效的证书：状态徽章、主题、SHA-256 指纹、有效期和 SAN 条目。状态徽章的含义：

• 可用 — 已加载有效的叶子证书并正在使用；
• 更新失败 — 上次重签失败；上一张证书继续生效，错误信息显示在页面上；
• 未生成 — 尚无 CA 或叶子证书；用 生成 CA 与证书 创建两者。

重新签发叶子证书 会立即签发一张新叶子证书，而不等待自动触发——适合在更改主机名或网卡之后立即使用，或用来让 Web 界面之外做出的 SAN 修改生效。

分发 Root CA

要使用严格验证的客户端需要 Root CA 的公钥证书。从 私有 Root CA 卡片获取：

• 下载 Root CA 保存 PEM 文件；
• 复制 Root CA 把 PEM 放入剪贴板，可直接粘贴到客户端的 CA 字段。

叶子证书续签或 SAN 修改都不会改变 CA——分发一次即可。在任何地方启用严格验证之前，请将本页显示的 SHA-256 指纹与客户端收到的内容进行比对（见最后一页「客户端严格验证」）。

下载和剪贴板中的内容只包含 CA 公钥证书，绝不包含私钥。只把它交给你希望能够验证这台服务器的人。