为什么我的浏览器认为https://1.1.1.1是安全的？

当我访问https://1.1.1.1时，我使用的任何Web浏览器都认为该URL是安全的。

这是Google Chrome显示的内容：

通常，当我尝试通过其IP地址访问HTTPS站点时，会收到如下安全警告：

据我了解，站点证书需要与域匹配，但是Google Chrome证书查看器不会显示1.1.1.1：

GoDaddy的知识库文章“我可以为Intranet名称或IP地址申请证书吗？” 说：

否-我们不再接受内部网名称或IP地址的证书请求。这是一种行业标准，不是GoDaddy特有的标准。

^{_{（重点是我的）}}

并且：

因此，自2016年10月1日起，证书颁发机构（CA）必须吊销使用 Intranet名称或IP地址的SSL证书。

^{_{（重点是我的）}}

和：

除了保护IP地址和Intranet名称之外，您应该将服务器重新配置为使用完全合格的域名（FQDN），例如www.coolexample.com。

^{_{（重点是我的）}}

强制性撤销日期早于2016年10月01日，但证书1.1.1.1已于2018年3月29日签发（如上图所示）。

所有主要浏览器如何可能认为https://1.1.1.1是受信任的HTTPS网站？

英语模棱两可。您正在这样解析：

(intranet names) or (IP addresses)

即完全禁止使用数字IP地址。与您所看到的相符的含义是：

intranet (names or IP addresses)

例如，禁止对私有IP范围（例如10.0.0.0/8、172.16.0.0/12和192.168.0.0/16）以及在公共DNS上不可见的私有名称的证书。

仍然允许使用可公开路由的IP地址的证书，但通常不建议大多数人使用，尤其是那些不拥有静态IP的人。

此声明仅是建议，而不是声称您不能保护（公共）IP地址。

除了保护IP地址和Intranet名称之外，您应该将服务器重新配置为使用完全合格的域名（FQDN），例如www.coolexample.com。

也许GoDaddy的某个人误解了该措词，但更有可能的是他们希望保持简单的建议，并建议在证书中使用公共DNS名称。

大多数人没有为他们的服务使用稳定的静态IP。提供DNS服务是真正需要拥有稳定的知名IP而不只是名称的一种情况。 对于其他任何人，将您当前的IP放入SSL证书将限制您将来的选择，因为您不能让其他人开始使用该IP。他们可能会冒充您的网站。

Cloudflare.com 本身可以控制 1.1.1.1 IP地址，并且不打算在可预见的将来对其做任何不同的事情，因此对于他们来说，将IP放入证书中是有意义的。特别是作为DNS提供商，HTTPS客户端比其他任何站点更可能通过数字访问其URL。

GoDaddy说明文件有误。证书颁发机构（CA）必须撤销所有IP地址（仅保留IP地址）的证书是不正确的。

^{_{资料来源：https : //cabforum.org/internal-names/}}

https://1.1.1.1的CA 是DigiCert，在撰写本文时，它确实允许购买公共IP地址的站点证书。

DigiCert对此发表了一篇名为《2015年之后的内部服务器名称SSL证书颁发》的文章：

如果您是使用内部名称的服务器管理员，则需要重新配置这些服务器以使用公共名称，或者切换到内部CA在2015年截止日期之前颁发的证书。所有需要公共信任证书的内部连接都必须通过可公开且可验证的名称进行（这些服务是否可以公共访问无关紧要）。

^{_{（重点是我的）}}

Cloudflare只是1.1.1.1从该受信任的CA 获得了其IP地址的证书。

解析https://1.1.1.1的证书表明，该证书利用主题备用名称（SAN）来包含一些IP地址和普通域名：

deltik@node51 [~]$ openssl s_client -showcerts -connect 1.1.1.1:443 < /dev/null 2>&1 | openssl x509 -noout -text | grep -A1 'Subject Alternative Name:'
            X509v3 Subject Alternative Name: 
                DNS:*.cloudflare-dns.com, IP Address:1.1.1.1, IP Address:1.0.0.1, DNS:cloudflare-dns.com, IP Address:2606:4700:4700:0:0:0:0:1111, IP Address:2606:4700:4700:0:0:0:0:1001

此信息也位于“详细信息”标签下的Google Chrome证书查看器中：

该证书对所有列出的域（包括通配符*）和IP地址均有效。

看来证书使用者替代名称包含IP地址：

Not Critical
DNS Name: *.cloudflare-dns.com
IP Address: 1.1.1.1
IP Address: 1.0.0.1
DNS Name: cloudflare-dns.com
IP Address: 2606:4700:4700::1111
IP Address: 2606:4700:4700::1001

传统上，我想您只会在此处放置DNS名称，但是Cloudflare也会在其中放置其IP地址。

浏览器也认为https://1.0.0.1/是安全的。