Kesalahan Sertifikat SSL Setelah Pengalihan dengan Bundel CA Khusus
Periksa apakah file CA yang dipilih secara eksplisit berisi semua bahan kepercayaan yang dibutuhkan jalur permintaan sebenarnya, termasuk host yang dialihkan.
File CA perusahaan memperbaiki URL pertama, lalu pengalihan gagal verifikasi. Periksa apakah opsi CA khusus menggantikan masukan kepercayaan klien sebelumnya alih-alih menambahkannya.
Perilaku itu bergantung pada backend TLS dan opsinya. File yang hanya berisi CA korporat dapat meninggalkan klien tanpa otoritas lain yang dibutuhkannya.
- Ikuti setiap peer. Host pertama mungkin dicegat di bawah penerbit korporat. Host berikutnya dapat memakai jalan pintas, jalur inspeksi lain, atau rantai yang diterbitkan publik.
- Catat masukan klien yang gagal. Simpan nama host yang diminta, target pengalihan, penerbit yang diterima, hasil verifikasi, dan konfigurasi kepercayaan yang dipilih. Peramban yang berfungsi dapat memakai penyimpanan akar lain.
- Periksa aturan pemilihan backend. Build curl dapat memakai verifikasi asli atau akar berbasis file, dan opsi CA eksplisit dapat mengubah pilihan itu. Resep untuk eksekutabel itu tidak mengonfigurasi lingkungan Python atau JVM.
Gunakan bundel yang dipelihara atau penataan penyimpanan kepercayaan yang didukung berisi otoritas publik dan privat yang seharusnya dipercaya aplikasi. Jangan tambahkan kunci privat CA atau naikkan setiap sertifikat daun yang gagal menjadi akar hanya untuk menghapus kesalahan berikutnya.
Kirimkan bahan kepercayaan melalui jalur pembaruan yang didukung penerapan. Mengganti paket CA vendor secara manual dapat dibatalkan oleh pembaruan berikutnya; jaga pemilik dan proses pemeliharaan tetap eksplisit agar verifikasi berlanjut di sepanjang rute permintaan.