Erori de certificat SSL după redirecționări cu un pachet CA personalizat

Fișierul CA al companiei corectează primul URL, apoi o redirecționare eșuează verificarea. Verificați dacă opțiunea CA personalizată a înlocuit intrarea de încredere anterioară a clientului în loc să o completeze.

Acel comportament depinde de backendul TLS și de opțiune. Un fișier care conține doar CA corporativă poate lăsa clientul fără alte autorități de care are nevoie.

1. Urmați fiecare partener. Prima gazdă poate fi interceptată sub emitentul corporativ. O gazdă ulterioară poate folosi o ocolire, altă cale de inspecție sau un lanț emis public.
2. Înregistrați intrările clientului care eșuează. Păstrați numele de gazdă solicitat, ținta redirecționării, emitentul primit, rezultatul verificării și configurația de încredere selectată. Un browser funcțional poate folosi alt depozit de rădăcini.
3. Verificați regulile de selecție ale backendului. Buildurile curl pot folosi verificare nativă sau rădăcini bazate pe fișiere, iar opțiunile CA explicite pot schimba acea alegere. O rețetă pentru acel executabil nu configurează un mediu Python sau un JVM.

Folosiți un pachet întreținut sau o aranjare de depozit de încredere acceptată care conține autoritățile publice și private în care aplicația trebuie să aibă încredere. Nu adăugați cheia privată a unei CA și nu promovați fiecare certificat frunză eșuat la rădăcină doar pentru a elimina următoarea eroare.

Livrează materialul de încredere prin calea de actualizare acceptată a implementării. Înlocuirea manuală a unui pachet CA de furnizor poate fi anulată de următoarea sa actualizare; păstrați explicit proprietarul și procesul de întreținere pentru ca verificarea să continue pe întreaga rută a cererii.