state=error: certificate verify failed (certificate has expired)

Mensagem completa: “SSL_connect returned=1 errno=0 peeraddr=<ip>:<port> state=error: certificate verify failed (certificate has expired)”. Certificados que ainda não são válidos geram “(certificate is not yet valid)”.

Ruby openssl (Net::HTTP, Faraday, RubyGems) — OpenSSL::SSL::SSLError from SSL_connect

O que significa

O OpenSSL encontrou na cadeia um certificado cujo período de validade terminou antes da hora atual da máquina que roda o Ruby. Na maioria das vezes, o certificado do servidor não foi renovado ou a renovação não foi implantada; em sistemas antigos, um bundle de CAs desatualizado pode fazer o OpenSSL montar o caminho por uma raiz expirada.

Por que acontece

• O certificado do servidor expirou

  comum

  A renovação falhou, ou o serviço não foi recarregado depois da renovação.

• Um bundle de CAs desatualizado em um sistema antigo

  ocasional

  Imagens e servidores de longa duração cujo pacote ca-certificates nunca foi atualizado podem conhecer apenas versões expiradas das raízes públicas.

• O relógio do sistema está errado

  ocasional

  Um relógio adiantado faz certificados válidos parecerem expirados.

Como corrigir

1. 1.

   Verificar a data de término do certificado servido

   Se ela já passou, renove; se estiver em ordem, examine o bundle e o relógio do cliente.

   echo | openssl s_client -connect api.example.com:443 -servername api.example.com 2>/dev/null \
     | openssl x509 -noout -subject -enddate

2. 2.

   Atualizar o bundle de CAs do cliente

   Atualizar o ca-certificates corrige clientes que montam caminhos por raízes aposentadas.

   # Old images: refresh the CA bundle Ruby's OpenSSL uses
   apt-get update && apt-get install --only-upgrade -y ca-certificates
   ruby -ropenssl -e 'p OpenSSL::X509::DEFAULT_CERT_FILE'

3. 3.

   Renovar o certificado e recarregar o servidor

   Renove o certificado e recarregue o terminador TLS; confira o resultado de fora, pela rede.

   sudo certbot renew && sudo systemctl reload nginx

← Ver toda a base de erros de assinatura