Python Requests: los paquetes CA van en verify, no en cert
Coloque el material de confianza CA aprobado en la configuración de verificación en lugar de tratar un error de certificado como una solicitud de la clave privada del cliente.
Un colega le entrega el certificado CA de la organización. Requests ofrece un parámetro llamado cert. Los nombres parecen coincidir, pero responden a preguntas distintas.
| Ajuste | Propósito |
|---|---|
verify | Selecciona el material de confianza usado para verificar al par |
cert | Presenta un certificado de cliente, con su clave privada, cuando se requiere autenticación de cliente |
Para una CA de interceptación aprobada, una operación de Requests puede seleccionar el paquete CA previsto:
response = requests.get(
'https://example.com/',
proxies=routes,
verify='/path/to/approved-ca-bundle.pem',
timeout=15,
)Aquí routes es la asignación de proxy existente de la aplicación. La ruta debe nombrar el paquete de confianza legible correcto para este cliente. No es un certificado de sitio web descargado y elegido solo porque la conexión falló.
La variable de entorno REQUESTS_CA_BUNDLE es otra entrada de confianza admitida. Compruebe la ruta de envío real si parece ineficaz; los flujos de solicitudes preparadas y los ajustes explícitos pueden alterar cómo se fusiona la configuración del entorno.
No debería necesitar la clave privada de la CA
El certificado CA público es lo que un cliente necesita para reconocer un emisor aprobado. Su clave privada de firma es un secreto poderoso de otra parte. No debería distribuirse a los usuarios de la aplicación como parte de una reparación rutinaria de la confianza del proxy.
Un certificado de cliente todavía puede ser requerido por un destino concreto o por otra relación TLS configurada por separado. Eso es un requisito aparte, no algo inferido de cada error de verificación de certificado.
Cuando aparezca el siguiente error, nombre la operación: cargar un archivo CA, verificar un certificado de par o presentar una identidad de cliente. Mover un archivo entre verify y cert hasta que cambie el mensaje no es una forma fiable de elegir su papel.