Der Fehler NET::ERR_CERT_COMMON_NAME_INVALID bedeutet, dass die im Browser aufgerufene Domain nicht zu den im Zertifikat hinterlegten Namen passt. Das Zertifikat ist gültig — es wurde nur für eine andere Domain ausgestellt als die, die der Nutzer aufgerufen hat.
Konkret prüft der Browser den aufgerufenen Hostnamen gegen die Subject Alternative Name-Einträge (SAN) im Zertifikat. Findet er keine Übereinstimmung, bricht er die Verbindung mit dieser Fehlermeldung ab. Die Bezeichnung „Common Name" im Fehlertext ist historisch — moderne Browser ignorieren das Common-Name-Feld seit Chrome 58 (2017) und prüfen ausschließlich die SAN-Liste.
Häufige Ursachen, geordnet nach Häufigkeit:
| Ursache | Beispiel | Lösung |
|---|---|---|
Aufruf mit oder ohne www, aber nur eine Variante im Zertifikat |
Zertifikat für meine-domain.de, Aufruf www.meine-domain.de |
Beide Varianten als SAN ins Zertifikat aufnehmen oder per 301-Weiterleitung umleiten |
| Subdomain nicht im Zertifikat enthalten | Zertifikat für meine-domain.de, Aufruf shop.meine-domain.de |
Multi-Domain-Zertifikat oder Wildcard *.meine-domain.de einsetzen |
| Wildcard deckt nur eine Ebene ab | Zertifikat für *.meine-domain.de, Aufruf www.shop.meine-domain.de |
Zweite Wildcard *.shop.meine-domain.de ergänzen oder Multi-Domain-Zertifikat verwenden |
| Falsches Zertifikat auf dem Server installiert | Zertifikat einer anderen Domain wurde versehentlich eingespielt | Zertifikat anhand des CSR und des Domainnamens prüfen, korrektes Zertifikat installieren |
| Direktaufruf über IP-Adresse | Aufruf https://192.0.2.1/ |
Über den Domainnamen aufrufen — IP-Zertifikate sind selten und müssen explizit ausgestellt werden |
| Server liefert das Standard-Zertifikat aus | Hosting mit mehreren Domains, SNI nicht korrekt konfiguriert | Server Name Indication (SNI) und virtuelle Hosts in der Webserver-Konfiguration prüfen |
Diagnose in drei Schritten:
openssl s_client -connect meine-domain.de:443 -servername meine-domain.de.Der Fehler ist nicht über den Browser umgehbar, ohne die Sicherheit der Verbindung zu kompromittieren. Klickt ein Nutzer trotzdem auf „Erweitert" und „Trotzdem fortfahren", baut der Browser die Verbindung zwar auf, akzeptiert aber ein Zertifikat, dessen Identitätsprüfung gescheitert ist — bei Onlineshops, Logins oder Zahlungsformularen ist das ein konkretes Sicherheitsrisiko.
Bei wiederkehrenden Fällen empfiehlt sich ein Multi-Domain- oder Wildcard-Zertifikat, das alle relevanten Domain-Varianten von Anfang an abdeckt — und ein Monitoring, das die SAN-Liste automatisiert mit den tatsächlich verwendeten Hostnamen abgleicht.