Certificados e confiança

Durante o handshake, o servidor apresenta um certificado: um documento que informa para qual host ele é destinado, quando expira e quem atesta sua validade.

Qualquer pessoa pode gerar um certificado alegando ser qualquer host, então a assinatura é o que importa. Os certificados são assinados por uma Autoridade Certificadora, e sua máquina vem com uma lista de autoridades em que confia:

ls -l /etc/ssl/certs/ca-certificates.crt

Seu cliente verifica três coisas: se o certificado é assinado por uma autoridade presente nessa lista, se não expirou e se o nome nele corresponde ao host que você solicitou. Se qualquer uma delas falhar, a conexão será interrompida.

É por isso que o último teste costuma falhar quando um serviço interno é acessado pelo IP, mesmo com um certificado válido: o certificado é para um nome, e você solicitou um número.