SSL-Zertifikatfehler nach Weiterleitungen mit einem benutzerdefinierten CA-Bundle

Die CA-Datei des Unternehmens korrigiert die erste URL, dann schlägt die Verifikation bei einer Weiterleitung fehl. Prüfen Sie, ob die benutzerdefinierte CA-Option die bisherige Vertrauenseingabe des Clients ersetzt hat, statt sie zu ergänzen.

Dieses Verhalten hängt vom TLS-Backend und der Option ab. Eine Datei, die nur die Unternehmens-CA enthält, kann den Client ohne andere benötigte Autoritäten zurücklassen.

1. Folgen Sie jedem Gegenüber. Der erste Host kann unter dem Unternehmensaussteller abgefangen werden. Ein späterer Host kann eine Umgehung, einen anderen Inspektionspfad oder eine öffentlich ausgestellte Kette verwenden.
2. Erfassen Sie die Eingaben des fehlschlagenden Clients. Behalten Sie den angeforderten Hostnamen, das Weiterleitungsziel, den empfangenen Aussteller, das Prüfergebnis und die gewählte Vertrauenskonfiguration. Ein funktionierender Browser kann einen anderen Root-Speicher verwenden.
3. Prüfen Sie die Auswahlregeln des Backends. curl-Builds können native Verifikation oder dateibasierte Roots verwenden, und explizite CA-Optionen können diese Wahl ändern. Ein Rezept für diese ausführbare Datei konfiguriert weder eine Python-Umgebung noch eine JVM.

Verwenden Sie ein gepflegtes Bundle oder eine unterstützte Vertrauensspeicher-Anordnung, die die öffentlichen und privaten Autoritäten enthält, denen die Anwendung vertrauen soll. Fügen Sie keinen privaten Schlüssel einer CA hinzu und stufen Sie nicht jedes fehlschlagende Blattzertifikat nur zur Beseitigung des nächsten Fehlers zu einer Root hoch.

Liefern Sie das Vertrauensmaterial über den unterstützten Aktualisierungspfad der Bereitstellung. Ein manueller Austausch eines Hersteller-CA-Pakets kann durch dessen nächste Aktualisierung rückgängig gemacht werden; halten Sie Eigentümer und Wartungsprozess explizit, damit die Verifikation über die gesamte Anforderungsroute hinweg bestehen bleibt.