state=error: certificate verify failed (certificate has expired)

Message complet : « SSL_connect returned=1 errno=0 peeraddr=<ip>:<port> state=error: certificate verify failed (certificate has expired) ». Les certificats qui ne sont pas encore valides produisent « (certificate is not yet valid) ».

Ruby openssl (Net::HTTP, Faraday, RubyGems) — OpenSSL::SSL::SSLError from SSL_connect

Ce que cela signifie

OpenSSL a trouvé dans la chaîne un certificat dont la période de validité a pris fin avant l’heure actuelle de la machine qui exécute Ruby. Le plus souvent, le certificat du serveur n’a pas été renouvelé ou le renouvellement n’a pas été déployé ; sur les systèmes anciens, un fichier d’AC obsolète peut amener OpenSSL à construire le chemin via une racine expirée.

Pourquoi cela se produit

• Le certificat du serveur a expiré

  fréquente

  Le renouvellement a échoué, ou le service n’a pas été rechargé après le renouvellement.

• Un fichier d’AC obsolète sur un système ancien

  occasionnelle

  Les images et les serveurs à longue durée de vie dont le paquet ca-certificates n’a jamais été mis à jour peuvent ne connaître que des versions expirées des racines publiques.

• L’horloge du système est fausse

  occasionnelle

  Une horloge réglée dans le futur fait paraître expirés des certificats valides.

Comment corriger l’erreur

1. 1.

   Vérifier la date de fin du certificat servi

   Si elle est passée, renouvelez le certificat ; si elle est correcte, examinez le fichier d’AC et l’horloge du client.

   echo | openssl s_client -connect api.example.com:443 -servername api.example.com 2>/dev/null \
     | openssl x509 -noout -subject -enddate

2. 2.

   Actualiser le fichier d’AC du client

   Mettre à jour ca-certificates corrige les clients qui construisent des chemins via des racines retirées.

   # Old images: refresh the CA bundle Ruby's OpenSSL uses
   apt-get update && apt-get install --only-upgrade -y ca-certificates
   ruby -ropenssl -e 'p OpenSSL::X509::DEFAULT_CERT_FILE'

3. 3.

   Renouveler et recharger le serveur

   Renouvelez le certificat et rechargez le terminateur TLS ; vérifiez le résultat côté réseau.

   sudo certbot renew && sudo systemctl reload nginx

← Parcourir toute la base de données des erreurs de signature