11장. TLS와 인증서

system clock, hostname/SNI, SAN, leaf/intermediate/root chain, notBefore/notAfter, key match, protocol/cipher를 확인한다. 인증서 파일만 새것이어도 실제 listener가 old cert를 제공할 수 있다.

openssl s_client -connect service.example.test:443 
  -servername service.example.test -showcerts </dev/null

교체는 발급→key 보호→chain bundle→staging→listener reload→모든 hostname/edge 검증→monitor→rollback window→old key 파기 순서다. private key를 ticket, chat, shell history에 붙이지 않는다. tls-expiry.md를 따른다.