OpenSSL X509_V_ERR_HOSTNAME_MISMATCH: hostname mismatch

Что означает ошибка

Имя хоста, которое проверяет клиент, не совпадает с допустимыми именами сертификата.

Возможные причины

• SAN не содержит запрошенное DNS-имя.
• Клиент подключается по alias, не включённому в сертификат.
• SNI/routing отдал сертификат другого virtual host.

Что проверить

• Посмотрите SAN через `openssl x509 -noout -ext subjectAltName`.
• Сравните hostname проверки с фактическим URL/SNI.
• Проверьте, какой сертификат выдаётся напрямую на нужном IP с правильным SNI.

Безопасные шаги

1. Используйте hostname, покрываемый сертификатом, если это правильный endpoint.
2. Перевыпустите сертификат с требуемым SAN для официального alias.
3. Исправьте SNI/vhost mapping, если отдается чужой сертификат.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• Если SAN корректен, но приложение всё равно сообщает mismatch, передайте target hostname и библиотечную verify configuration разработчику клиента.

Похожие ошибки

• /errors/openssl-unable-to-get-issuer-cert/
• /errors/openssl-unable-to-get-crl/
• /errors/openssl-cert-signature-failure/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• OpenSSL 3.6 X509_STORE_CTX_get_error — X509_V_ERR_HOSTNAME_MISMATCH