Как решить SSL certificate problem: unable to get local issuer certificate?

Question

[Кирилл]

Fatal error: Curl failed with error #60: SSL certificate problem: unable to get local issuer certificate

При отправке запроса вылез такой exception. Закачивал его (https://curl.haxx.se/ca/cacert.pem) на сервер и прописывал путь в curl.cainfo, но ничего не вышло :(

Как безопасно решить проблему?

Answer 1

[Кирилл]

Оказалась проблема из-за pfSense

Answer 2

[Boris Köln]

Вам перевести эту ошибку на русский? "Невалидный сертификат".

Как безопасно решить проблему?

Зависит от того, что именно хотите получить в итоге.

Comments

[Кирилл]

Хочу отправить post запрос с субдомена на основной домен
Ведь можно решить небезопасно, отключив проверку сертификата

[Boris Köln]

Тогда надо формулировать вопрос: "Как в php curl отключить проверку сертификата?"

[Кирилл]

Boris Korobkov, нет, мне нужно безопасно решить эту проблему

[Boris Köln]

Тогда пользуйтесь только сайтами с валидными сертификатами.

[Кирилл]

Boris Korobkov, не могу. Разве невалидный серф и не найден это не разное?

[Boris Köln]

Таки напишите внятно, что вам надо.
Если спарсить чужой сайт - это одно. Если правильно настроить сертификат на своем - совсем другое.

[Кирилл]

Boris Korobkov, всё на своём. У меня стоит фришный сертификат от let's encrypt. На site.ru и forum.site.ru. Хочу просто отправить пару запросов для SSO

[Boris Köln]

У меня тоже Let's encrypt. Устанавливал по инструкции (просто запустил certbot). Никаких левых pem-файлов не закачивал. Все и так работает без проблем.

Если нужна помощь - внятно опишите свою проблему (что именно делали, что получили, где увидеть результат и пр.) или обратитесь к телепату.

[Олег]

https://ya.ru https://google.com попробуйте взять.
Будет понятно подхватился ли pem . Ну и дальше будет понятнее куда копать

[Кирилл]

Олег Муравейко, хм, действительно. Другие сайты загружает, а свои нет, без всякого pem

[CityCat4]

Эта ошибка означает, что издателя сертификата нет среди тех, кто на данном компьютере считается корневыми. Если уж точно переводить, то ошибка переводится как "невозможно получить издателя локального сертификата".
Чтобы ее не было, нужно поместить издателя сертификата в основное хранилище, обычно /etc/ssl/certs и создать на него линк со специфическим именем:

ln -s certfile.crt `openssl x509 -hash -noout -in certfile.crt`.0

[Кирилл]

CityCat4, уже есть такой файл(

[CityCat4]

Кирилл, тогда можно проверить валидность сертификата через openssl verify. Там куча параметров, для запуска лучше сначала ман почитать. Эта команда имитирует проверку валидности сертификата и если он проверку не проходит, пишет почему.