การแก้ไขปัญหา2026-08-15•อ่าน 4 นาที

ใบรับรองเซ็นต์เอง: ข้อผิดพลาดความเชื่อถือในเบราว์เซอร์และแอป

· ทีม CSR.plus

•ใบรับรองเซ็นต์เองเป็นรากของตัวเอง — ไม่มีใครเชื่อถือจนกว่าคุณจะติดตั้ง
•ใช้แบบเซ็นต์เองเฉพาะการพัฒนาท้องถิ่นและทดสอบภายใน บริการภายในจริงให้ใช้ CA ส่วนตัว
•การเพิ่มใบรับรองในคลังเดียว (เบราว์เซอร์) ไม่ได้แก้ curl, Java, Python หรือแอปมือถือ

ตนเอง

โมเดลความเชื่อถือ

ใบรับรองเป็นรากของตัวเอง

พัฒนา/ทดสอบ

เหมาะสำหรับ

localhost และ staging

CA ส่วนตัว

ตัวเลือกที่ดีกว่า

สำหรับบริการภายในจริง

หลายที่

คลังที่ต้องอัปเดต

เบราว์เซอร์ OS curl Java แอป

ทำไมข้อผิดพลาดความเชื่อถือจึงเป็นเรื่องปกติ

ใบรับรองเซ็นต์เองประกาศตัวเองเป็นราก ไคลเอนต์ทุกตัว (เบราว์เซอร์, curl, Java, Python, แอปมือถือ) ตรวจสอบกับคลังของตัวเอง ไม่พบรายการที่ตรงกัน และล้มเหลวด้วยข้อผิดพลาดความเชื่อถือ นี่คือพฤติกรรมที่ถูกต้อง — เป้าหมายคือให้ไคลเอนต์ที่ถูกต้องเชื่อถือใบรับรองที่ถูกต้อง ไม่ใช่ปิดการตรวจสอบ

ติดตั้งใบรับรองอย่างถูกต้อง

ส่งออก PEM ของใบรับรอง แล้วติดตั้งในทุกคลังที่เชื่อมต่อ: คีย์เชนของ OS (macOS/Linux/Windows) สำหรับเบราว์เซอร์, ชุด CA ของ curl (-cacert หรือ SSL_CERT_FILE), cacerts ของ Java ผ่าน keytool, SSL_CERT_FILE ของ Python หรือพารามิเตอร์ verify ของ requests และคลังความเชื่อถือของแอปมือถือใด ๆ รีสตาร์ทไคลเอนต์หลังติดตั้ง

ทางเลือกที่ดีกว่า: CA ส่วนตัว

สำหรับบริการภายในจริง ให้สร้าง CA ส่วนตัว ติดตั้งเฉพาะรากของ CA ในคลังไคลเอนต์ และออกใบรับรองใบอายุสั้นที่ CA เซ็น ไคลเอนต์จะเชื่อถือทุกบริการภายในโดยไม่ต้องติดตั้งรายโฮสต์ และคุณหลีกเลี่ยงการลดความปลอดภัย (curl -k, verify=False)