主域名打开正常显示小锁，输入带 www 的地址浏览器直接拦截。碰到这种情况，我一般先确认改动有没有真的生效。
原因不复杂，证书的签发范围只包含一个主机名，另一个地址不在覆盖列表内。
「证书域名不匹配」相关的验证我通常做两遍，改完一次、隔天再看一次，确认不是临时生效。改完顺手把文档补一句，省得下次自己重新推一遍。
openssl x509 -in cert.pem -noout -text | grep -A1 'Subject Alternative Name' # 申请时加 -d www.example.com
监控和日志的时间要对上，时区不一致会多绕很大一圈。临时改动用注释写上日期和原因，过两周自己都记不清为什么这么写。
动手前把原文件复制一份带时间戳，出问题立刻换回去，比现场分析快得多。一次只改一处，改完立刻验证，几个改动叠在一起，出问题就说不清是谁导致的。
具体做法是，重新签发时同时填入两个主机名；或为另一地址单独签发；统一跳转到证书覆盖的地址。
最后用这个标准收尾，两个地址访问都不再报证书错误。