(Це нова відповідь на старе запитання, тому що я вважаю, що це допомагає зрозуміти, що за сертифікатами та CA немає "магії")
Як продовження затвердженої відповіді, наданої @Steffen Ullrich
Весь сертифікат на виявлення речей на веб-сайтах - це просто великий грошовий бізнес. Сертифікати X509 визначені (серед інших) RFC5280, і будь-хто може бути кореневим CA або проміжним CA, все залежить від довіри, яку ви маєте щодо цієї сутності.
Наприклад: якщо ви перебуваєте в домені Active Directory, то ваш основний контролер домену за замовчуванням є надійним кореневим сертифікаційним органом. Тим часом, інших сторонніх осіб абсолютно немає.
У широкому Інтернеті проблема полягає у визначенні "кому можна довіряти", оскільки це набагато більше, ніж лише одна компанія. Отже, постачальники браузерів надають власний довільний список кореневого CA, якому він буде довіряти, не вимагаючи вашої згоди.
Т.е.: Якщо у вас дуже хороші стосунки з фондом Mozilla, тоді ваш власний довільний корінний підпис із власним підписом може бути доданий до цього списку при наступному випуску їх браузера Firefox ... Просто тому, що вони вирішили це!
Більше того, не існує RFC, який визначав би поведінку та правила того, як повинні вести себе браузери щодо сертифікатів. Це мається на увазі, що оскільки "CN" сертифіката дорівнює доменному імені, воно повинно відповідати.
Оскільки цього в певний момент було недостатньо, усі постачальники браузерів явно старіли, що сертифікат форми підкреслюваної підстановки *.domain.comбуде відповідати будь-якому субдомену. Але це відповідає лише одному рівню: ні sub.sub.domain.comчому це? Бо вони просто так вирішили.
Тепер щодо вашого первинного запитання, що може перешкодити, щоб ваш основний доменний сертифікат був дозволений створювати суб-сертифікати для власних субдоменів, це простий процес для перевірки браузера, лише отримавши ланцюжок сертифікатів.
Відповідь: нічого
(за винятком того, що технічно ви повинні мати "прапор" у своєму власному сертифікаті домену)
Постачальники бросерів, якщо вони вважають це досить зручним, можуть вирішити його підтримати.
Однак, повернувшись до моєї першої заяви, це великі гроші з грошима. Тож ті кілька кореневих служб CA, які мають угоди з постачальниками браузерів, витрачають великі гроші, щоб відобразитися в цьому списку. І сьогодні вони отримують ці гроші назад, тому що вам потрібно заплатити за кожен окремий сертифікат на субдомен або отримати підстановку, яка коштує набагато дорожче. Якби вони дозволили вам створити власні сертифікати на субдомен, це надзвичайно скоротить їх прибуток. Тож ось чому на сьогоднішній день ви не можете цього зробити.
Ну, ви все ще можете, тому що це були б строго дійсні сертифікати x509, але жоден браузер не визнавав би це.