SSL-certifikatfel efter omdirigeringar med ett anpassat CA-paket
Kontrollera om den uttryckligen valda CA-filen innehåller allt förtroendematerial som den faktiska begäransvägen behöver, inklusive omdirigerade värdar.
Företagets CA-fil rättar den första URL:en, sedan misslyckas en omdirigering med verifieringen. Kontrollera om det anpassade CA-alternativet ersatte klientens tidigare förtroendeindata i stället för att lägga till den.
Beteendet beror på TLS-backend och alternativet. En fil som bara innehåller företagets CA kan lämna klienten utan andra nödvändiga myndigheter.
- Följ varje motpart. Den första värden kan avlyssnas under företagets utfärdare. En senare värd kan använda en kringgång, en annan inspektionsväg eller en offentligt utfärdad kedja.
- Registrera den felande klientens indata. Behåll det begärda värdnamnet, omdirigeringsmålet, mottagen utfärdare, verifieringsresultat och vald förtroendekonfiguration. En fungerande webbläsare kan använda ett annat rotlager.
- Kontrollera backendens urvalsregler. curl-byggen kan använda inbyggd verifiering eller filbaserade rötter, och uttryckliga CA-alternativ kan ändra det valet. Ett recept för den körbara filen konfigurerar inte en Python-miljö eller JVM.
Använd ett underhållet paket eller en stödd ordning för förtroendelagring som innehåller de offentliga och privata myndigheter som programmet ska lita på. Lägg inte till en CAs privata nyckel och befordra inte varje felande bladcertifikat till rot bara för att rensa nästa fel.
Leverera förtroendematerialet via utrullningens stödda uppdateringsväg. Manuellt utbyte av ett leverantörs-CA-paket kan återställas av dess nästa uppdatering; håll ägaren och underhållsprocessen uttryckliga så att verifieringen fortsätter genom hela begäransvägen.