Я писал в другой теме про wildcard SSL сертификаты, позволен только один самый левый уровень.

??? / .app, .dev, .new, .page, .channel, .day / Для работы доменов в этих зонах обязательна установка SSL-сертификата.

То есть работает не так, как wildcard DNS записи.

google.com / wildcard ssl rfc

datatracker.ietf.org/doc/html/rfc6125

If a client matches the reference identifier against a presented identifier whose DNS domain name portion contains the wildcard character '*', the following rules apply: 1. The client SHOULD NOT attempt to match a presented identifier in which the wildcard character comprises a label other than the left-most label (e.g., do not match bar.*.example.net). 2. If the wildcard character is the only character of the left-most label in the presented identifier, the client SHOULD NOT compare against anything but the left-most label of the reference identifier (e.g., *.example.com would match foo.example.com but not bar.foo.example.com or example.com).

rfc-editor.org/rfc/rfc9525.html

Wildcard support is now the default in certificates. Constrain wildcard certificates so that the wildcard can only be the complete left-most label of a domain name.

If the technology specification supports wildcards in presented identifiers, then the client MUST match the reference identifier against a presented identifier whose DNS domain name portion contains the wildcard character "*" in a label, provided these requirements are met:

* There is only one wildcard character.

* The wildcard character appears only as the complete content of the left-most label.

If the requirements are not met, the presented identifier is invalid and MUST be ignored.

Сейчас РКН видит только сайт, который ты посещаешь, после установки сертификата будет видеть всю активность на сайтах: сообщения, логины, пароли, куки...  ко всему будут ключи у РКН 

Да уже вылились, только с современным антуражем. А началось все как всегда с камер "для безопсности"

Если использовать впн, то ркн увидит только зашифрованный трафик. 

Это с чего бы это? Каким интересно образом? 

так ничего страшного, кому надо тот кликнет и зайдет, считай как самоподписанный.

государство выдавшее сертификат - имеет все ключи расшифровки этого сертификата. но это если заходить на сайт с таким  "российским" сертификатом. чужие сайты с норм сертификатами они не смогут расшифровать траф. 

Советую почитать, как шифруется трафик с использованием сертификата, что такое паблик и приват кей, как работает TLS,  Perfect Forward Secrecy (PFS) и прочее по этой теме.

Потом обсудим, может или нет. А то начитаются ужастиков, а немного вникнуть как работает, не хотят.