Errori del certificato SSL dopo reindirizzamenti con un bundle CA personalizzato

Il file CA aziendale corregge il primo URL, poi un reindirizzamento non supera la verifica. Verificate se l'opzione CA personalizzata ha sostituito l'input di fiducia precedente del client anziché aggiungervisi.

Questo comportamento dipende dal backend TLS e dall'opzione. Un file contenente solo la CA aziendale può lasciare il client senza altre autorità necessarie.

1. Seguite ogni peer. Il primo host può essere intercettato sotto l'emittente aziendale. Un host successivo può usare un bypass, un altro percorso di ispezione o una catena emessa pubblicamente.
2. Registrate gli input del client che fallisce. Conservate il nome host richiesto, la destinazione del reindirizzamento, l'emittente ricevuto, l'esito della verifica e la configurazione di fiducia scelta. Un browser funzionante può usare un altro archivio di radici.
3. Controllate le regole di selezione del backend. Le build di curl possono usare la verifica nativa o radici basate su file, e opzioni CA esplicite possono cambiare quella scelta. Una ricetta per quell'eseguibile non configura un ambiente Python né una JVM.

Usate un bundle mantenuto o una disposizione dell'archivio di fiducia supportata che contenga le autorità pubbliche e private di cui l'applicazione deve fidarsi. Non aggiungete la chiave privata di una CA e non promuovete ogni certificato foglia che fallisce a radice solo per eliminare l'errore successivo.

Distribuite il materiale di fiducia tramite il percorso di aggiornamento supportato della distribuzione. La sostituzione manuale di un pacchetto CA di un fornitore può essere annullata dal suo prossimo aggiornamento; mantenete espliciti il proprietario e il processo di manutenzione affinché la verifica continui lungo l'intero percorso della richiesta.