Ralat Sijil SSL Selepas Ubah Hala dengan Bundel CA Tersuai

Fail CA syarikat membetulkan URL pertama, kemudian ubah hala gagal pengesahan. Semak sama ada pilihan CA tersuai menggantikan input kepercayaan klien sebelum ini dan bukannya menambah padanya.

Tingkah laku itu bergantung pada backend TLS dan pilihan. Fail yang hanya mengandungi CA korporat boleh membiarkan klien tanpa pihak berkuasa lain yang diperlukannya.

1. Ikuti setiap rakan. Hos pertama mungkin dipintas di bawah pengeluar korporat. Hos kemudian mungkin menggunakan pintasan, laluan pemeriksaan lain atau rantaian yang dikeluarkan secara awam.
2. Rekod input klien yang gagal. Simpan nama hos yang diminta, sasaran ubah hala, pengeluar yang diterima, hasil pengesahan dan konfigurasi kepercayaan yang dipilih. Pelayar yang berfungsi mungkin menggunakan stor akar lain.
3. Semak peraturan pemilihan backend. Binaan curl boleh menggunakan pengesahan asli atau akar berasaskan fail, dan pilihan CA eksplisit boleh mengubah pilihan itu. Resipi untuk fail boleh laku itu tidak mengkonfigurasi persekitaran Python atau JVM.

Gunakan bundel yang diselenggara atau susunan stor kepercayaan yang disokong yang mengandungi pihak berkuasa awam dan persendirian yang sepatutnya dipercayai oleh aplikasi. Jangan tambah kunci persendirian CA atau naikkan setiap sijil daun yang gagal menjadi akar semata-mata untuk menghapuskan ralat seterusnya.

Hantar bahan kepercayaan melalui laluan kemas kini yang disokong oleh penggunaan. Menggantikan pakej CA vendor secara manual boleh dibatalkan oleh kemas kini seterusnya; kekalkan pemilik dan proses penyelenggaraan secara eksplisit supaya pengesahan berterusan di seluruh laluan permintaan.