SSL-certificaatfouten na doorverwijzingen met een aangepaste CA-bundel
Controleer of het expliciet gekozen CA-bestand al het vertrouwensmateriaal bevat dat het werkelijke aanvraagpad nodig heeft, inclusief doorverwezen hosts.
Het CA-bestand van het bedrijf herstelt de eerste URL, waarna een doorverwijzing de verificatie niet doorstaat. Controleer of de aangepaste CA-optie de eerdere vertrouwensinvoer van de client heeft vervangen in plaats van aangevuld.
Dat gedrag hangt af van de TLS-backend en de optie. Een bestand met alleen de bedrijfs-CA kan de client achterlaten zonder andere autoriteiten die hij nodig heeft.
- Volg elke tegenpartij. De eerste host kan worden onderschept onder de bedrijfsuitgever. Een latere host kan een omzeiling, een ander inspectiepad of een openbaar uitgegeven keten gebruiken.
- Leg de invoer van de falende client vast. Bewaar de gevraagde hostnaam, het doorverwijzingsdoel, de ontvangen uitgever, het verificatieresultaat en de gekozen vertrouwensconfiguratie. Een werkende browser kan een andere rootopslag gebruiken.
- Controleer de selectieregels van de backend. curl-builds kunnen native verificatie of op bestanden gebaseerde roots gebruiken, en expliciete CA-opties kunnen die keuze wijzigen. Een recept voor dat uitvoerbare bestand configureert geen Python-omgeving of JVM.
Gebruik een onderhouden bundel of een ondersteunde vertrouwensopslagindeling met de openbare en private autoriteiten die de toepassing hoort te vertrouwen. Voeg geen privésleutel van een CA toe en promoveer niet elk falend bladcertificaat tot root alleen om de volgende fout weg te nemen.
Lever het vertrouwensmateriaal via het ondersteunde updatepad van de implementatie. Handmatig vervangen van een leveranciers-CA-pakket kan door de volgende update ongedaan worden gemaakt; houd de eigenaar en het onderhoudsproces expliciet zodat verificatie over de volledige aanvraagroute blijft werken.