Un CN joker dans un certificat SSL peut-il être plus spécifique ?

Cela dépend du protocole. Pour HTTPS RFC 2818 permet explicitement au caractère de remplacement d'être à l'intérieur de l'étiquette, c'est-à-dire quelque chose comme f*.example.com . Et je ne trouve aucune déclaration dans le exigences de base du forum des navigateurs de l'AC qui restreignent le caractère générique au seul libellé complet.

Pour d'autres protocoles comme LDAP ou SMTP, la situation est différente. La plupart d'entre eux n'autorisent dans la norme que des caractères génériques complets tels que *.example.com et ne permettent pas f*.example.com . Mais je ne suis pas sûr que ces différences soient vraiment appliquées dans la pratique, car il y a souvent un code commun pour la validation du sujet.