SSL CERTIFICATE_VERIFY_FAILED qua proxy

SSL: CERTIFICATE_VERIFY_FAILED nghĩa là gì?

Trong quá trình bắt tay TLS, website gửi một chuỗi chứng chỉ. Client của bạn kiểm tra chuỗi này với danh sách cơ quan quản lý đáng tin cậy, kho tin cậy, và kiểm tra tên cũng như thời hạn. Nếu bất kỳ kiểm tra nào thất bại, nó sẽ dừng.

Với kết nối tún kết nối (CONNECT tunnel), proxy truyền bắt tay nguyên vẹn nên chứng chỉ bạn thấy là chứng chỉ của website thật. Thông thường nguyên nhân là phần mềm kiểm tra chèn thêm chứng chỉ của nó, hoặc kho tin cậy lỗi thời trên máy bạn.

CERTIFICATE_VERIFY_FAILED trông như thế nào trong Python, curl, Node.js và trình duyệt?

Cùng một lỗi nhưng hiển thị khác nhau trên mỗi công cụ. Đây là các thông báo bạn nên tìm trong nhật ký của mình:

• Python: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate
• Node.js: UNABLE_TO_GET_ISSUER_CERT_LOCALLY hoặc SELF_SIGNED_CERT_IN_CHAIN
• curl: curl: (60) SSL certificate problem: unable to get local issuer certificate
• Trình duyệt: NET::ERR_CERT_AUTHORITY_INVALID

Nguyên nhân gây ra CERTIFICATE_VERIFY_FAILED là gì?

Khả năng đầu tiên là:

• Bộ CA lỗi thời, ví dụ gói certifi cũ trong Python.
• Kiểm tra HTTPS bởi phần mềm diệt virus, tường lửa công ty hoặc proxy gỡ lỗi, chúng dùng chứng chỉ riêng.
• Đồng hồ hệ thống sai khiến chứng chỉ hợp lệ trông như hết hạn hoặc chưa hiệu lực.
• Website có chuỗi chứng chỉ bị lỗi, thiếu chứng chỉ trung gian.
• Ảnh container không cài gói chứng chỉ CA của hệ thống.

Làm sao để chẩn đoán CERTIFICATE_VERIFY_FAILED từng bước?

1. Thực hiện yêu cầu mà không qua proxy. Nếu cũng lỗi, proxy không phải nguyên nhân.
2. In ra nhà cấp chứng chỉ bằng openssl s_client hoặc curl -v: nhà cấp trùng tên phần mềm diệt virus hoặc tường lửa là có chặn.
3. Kiểm tra ngày giờ hệ thống.
4. Cập nhật bộ CA rồi thử lại.

# Use the URL that fails; with https://api.ipify.org instead, you test the gateway alone.
# "HTTP/1.1 200 Connection established" first, then the site's own status: the site answered.
curl -v -x http://USERNAME:[email protected]:7777 https://TARGET_URL

# Same test through the SOCKS5 port, with DNS resolved at the exit
curl -v --socks5-hostname gw.crawlrelay.com:7778 --proxy-user USERNAME:PASSWORD https://TARGET_URL

Làm sao để sửa CERTIFICATE_VERIFY_FAILED?

• Cập nhật certifi (pip install -U certifi) hoặc gói CA hệ thống của bạn.
• Thêm chứng chỉ kiểm tra của công ty vào kho tin cậy nếu mạng yêu cầu, hoặc chạy scraper ngoài mạng đó.
• Sửa lỗi đồng hồ bằng đồng bộ thời gian mạng.
• Cài chứng chỉ CA vào ảnh container gọn nhẹ, ví dụ gói ca-certificates.
• Không tắt xác thực trong mã gửi thông tin đăng nhập hoặc lấy dữ liệu quan trọng.

Có nên thử lại sau CERTIFICATE_VERIFY_FAILED không?

Không thử lại: kho tin cậy giống vậy sẽ lỗi tương tự. Sửa kho tin cậy, đồng hồ hoặc đường mạng rồi chạy lại.

SSL: CERTIFICATE_VERIFY_FAILED áp dụng thế nào với CrawlRelay?

Cổng HTTP của CrawlRelay tạo tún HTTPS với CONNECT nên chứng chỉ client kiểm tra là chứng chỉ website gửi. Nếu lỗi chỉ còn qua cổng này mà không có lỗi khi bỏ qua, liên hệ hỗ trợ kèm hostname và lỗi đầy đủ để chúng tôi kiểm tra đầu ra.

Gateway: gw.crawlrelay.com, cổng 7777 (HTTP, HTTPS qua CONNECT) và cổng 7778 (SOCKS5). Định dạng tên người dùng: USERNAME-country-{cc}-state-{state}-city-{city}-zip-{zip}-asn-{asn}-session-{id}-ttl-{minutes}. Tham khảo liên quan: SSL: WRONG_VERSION_NUMBER · Kết nối bị đặt lại · Hướng dẫn Python.