Por que o CNAME não está funcionando como deveria?

Question

Eu configurei uma entrada CNAME para redirecionar sobre o bucket do Amazon S3, mas há algo que não funciona como supostamente (por mim, é claro) com o CNAME. Espero redirecionar um subdomínio fictício, por exemplo s3.example.com para a Amazon Balde S3 com o mesmo nome.

Agora, o problema é que example.com não tem um SSL enquanto o Amazon bucket faz isso. Para o que eu assumi, com uma regra CNAME, ele deve redirecionar o tráfego antes para chegar ao meu servidor e verificar a presença de um certificado. Observe que, para essa finalidade, o DNS está definido como meu provedor de domínio e não é meu provedor de hospedagem.

Por que ele está sempre verificando SSL quando há uma regra CNAME e está funcionando? Se, por exemplo, eu remover o s da url, ele abrirá o arquivo relativo no intervalo sem qualquer aviso de certificado.

edit : o erro retornado é diferente, tentarei traduzi-lo e adaptá-lo:

s3.mydomain.com is using a not valid certificate. the certificate is 
only valid for the following names: *.s3.eu-central-1.amazonaws.com, 
*.s3-eu-central-1.amazonaws.com, s3-eu-central-1.amazonaws.com, s3.eu-
central-1.amazonaws.com, s3.dualstack.eu-central-1.amazonaws.com, 
*.s3.dualstack.eu-central-1.amazonaws.com, *.s3.amazonaws.com 

parece então que ele está lendo a regra CNAME e procurando o domínio correto (amazon s3) então confronta isso com meu domínio e vê que é um nome diferente, então ele pára antes de redirecionar. Por esse motivo, se eu remover o s , não haverá erro. Agora eu tentaria instalar vamos criptografar e ver se ter um certificado ajudaria, mas meu palpite ainda fará com que este anúncio de seleção dê novamente um resultado similar, se não o mesmo.

    

Answer 1

O CNAME na sua zona DNS está funcionando conforme o esperado, mas os navegadores verificam se o certificado apresentado pelo site remoto é válido para o domínio que está sendo visitado.

O servidor amazon s3 onde seus dados estão armazenados não possui ou apresenta um certificado válido para s3.mydomain.com , então todos os visitantes verão o aviso de certificado.

Isso é completamente normal e é exatamente como os certificados SSL devem funcionar - caso contrário, qualquer site poderia fingir ser qualquer outro site criptografado por SSL. Os certificados são usados para autenticação, bem como apenas criptografia, com a verificação de identidade sendo feita pela Autoridade de Certificação (CA) quando o certificado é adquirido. Se você não é quem diz ser quando adquire o certificado, a CA deve se recusar a criá-lo ou emiti-lo para você - se ele não fizer essa etapa de verificação, ele será removido da CA confiável padrão lista distribuída com navegadores como Firefox, Chromium, IE, Edge, etc.

A maneira "normal" de executar o seu próprio servidor https para o seu domínio COM um certificado assinado por uma autoridade de certificação conhecida e confiável pelo navegador. Para aplicativos da web do tipo privada / intranet, você pode executar sua própria autoridade de certificação e distribuir o certificado da autoridade de certificação para seus usuários. Para sites públicos, é melhor / simplesmente comprar um certificado de uma das CAs conhecidas.

O código do aplicativo no seu servidor deve buscar os dados necessários da amazon e devolvê-los ao usuário, que nunca precisa saber ou se importar com o envolvimento da Amazon.

    

Answer 2

Um CNAME não é um redirecionamento, é um alias. O que ele faz é informar a um resolvedor de DNS que seu endereço s3.example.com deve usar as mesmas informações de DNS que o domínio s3 da amazon.

Tudo isso acontece no nível do DNS, não no nível do navegador. No que diz respeito ao navegador, ele ainda está se conectando a s3.example.com, de modo que, ao tentar validar o certificado SSL, espera encontrar um certificado que corresponda a esse domínio.

Não estou familiarizado com os serviços da Amazon, mas você precisará apresentar um certificado válido para usar seu domínio personalizado com HTTPS. Se isso não for possível, você terá que manter o HTTP simples ou parar de usar seu domínio personalizado.