Errors de certificat SSL després de redireccions amb un paquet de CA personalitzat
Comproveu si el fitxer de CA seleccionat explícitament conté tot el material de confiança que necessita la ruta real de la sol·licitud, inclosos els amfitrions redirigits.
El fitxer de CA de l'empresa corregeix la primera URL, i després una redirecció falla la verificació. Comproveu si l'opció de CA personalitzada ha substituït l'entrada de confiança anterior del client en lloc d'afegir-s'hi.
Aquest comportament depèn del backend TLS i de l'opció. Un fitxer que només contingui la CA corporativa pot deixar el client sense altres autoritats que necessita.
- Seguiu cada parell. El primer amfitrió pot ser interceptat sota l'emissor corporatiu. Un amfitrió posterior pot fer servir una derivació, una altra ruta d'inspecció o una cadena emesa públicament.
- Registreu les entrades del client que falla. Conserveu el nom d'amfitrió sol·licitat, l'objectiu de la redirecció, l'emissor rebut, el resultat de la verificació i la configuració de confiança seleccionada. Un navegador que funciona pot usar un altre magatzem d'arrels.
- Reviseu les regles de selecció del backend. Les compilacions de curl poden usar verificació nativa o arrels basades en fitxers, i les opcions explícites de CA poden alterar aquesta elecció. Una recepta per a aquest executable no configura un entorn Python ni una JVM.
Utilitzeu un paquet mantingut o una disposició de magatzem de confiança compatible que contingui les autoritats públiques i privades en què l'aplicació ha de confiar. No afegiu la clau privada d'una CA ni promocioneu cada certificat fulla que falla a arrel només per esborrar el següent error.
Lliureu el material de confiança pel camí d'actualització compatible del desplegament. Substituir manualment un paquet de CA de proveïdor pot ser desfet per la seva propera actualització; manteniu l'amo i el procés de manteniment explícits perquè la verificació continuï per tota la ruta de sol·licitud.