SWLästig
curl: (60)curl: SSL certificate problem – unable to get local issuer certificate
curl bricht mit Fehler 60 ab? Dein System kennt den Aussteller des Zertifikats nicht. Warum -k die falsche Antwort ist – und was hilft.
// Symptom
Etwas meldet, dem Zertifikat sei nicht zu trauen
Diese Warnung sagt fast nie, dass jemand angreift, und sie sagt fast immer, dass eine Kette nicht zusammengeht. Entscheidend ist, WER sie meldet: Warnt der Browser, aber das Kommandozeilenwerkzeug nicht, liegt es am Vertrauensspeicher. Warnt das Werkzeug, aber der Browser nicht, liegt es meist daran, dass der Browser ein fehlendes Zwischenzertifikat still nachgeladen hat — was er darf, aber nicht muss. Und ein Programm mit eigenem Vertrauensspeicher, etwa die Java-Laufzeitumgebung, kann als Einziges misstrauen, während alles andere zufrieden ist.
Mögliche Ursachen (8)
Sortiert nach Schadenspotenzial: Was Daten oder Hardware kosten kann, steht oben. Nicht, weil es am wahrscheinlichsten ist – sondern weil es am teuersten wird, wenn man es übersieht.
NETLästig
Falsches Zertifikat, obwohl der Name stimmt: SNI fehlt
Liegen mehrere HTTPS-Namen auf einer IP, entscheidet die SNI-Erweiterung, welches Zertifikat kommt. Fehlt sie, liefert der Server das Standardzertifikat.
NETLästig
Im Browser geht die Seite, überall sonst nicht
Der Server schickt nur sein eigenes Zertifikat und lässt das Zwischenzertifikat weg. Browser holen es nach, Apps und Skripte tun das oft nicht.
SWLästig
keytool meldet Erfolg, Java vertraut dem Zertifikat nicht
Certificate was added to keystore – und die Verbindung scheitert weiter. Ohne -cacerts legt keytool das Zertifikat in .keystore im Heimverzeichnis ab.
SWLästig
UNABLE_TO_VERIFY_LEAF_SIGNATURENode.js: UNABLE_TO_VERIFY_LEAF_SIGNATURE trotz Firmen-CA
Node bricht mit UNABLE_TO_VERIFY_LEAF_SIGNATURE ab, obwohl die Firmen-CA im System liegt. Warum das passiert und was --use-system-ca dagegen tut.
SWLästig
CERTIFICATE_VERIFY_FAILEDpip: SSL: CERTIFICATE_VERIFY_FAILED
pip lädt keine Pakete wegen SSL-Zertifikatsfehler? Meist schneidet ein Firmen-Proxy mit oder die Zertifikate sind veraltet — beides ist lösbar.
SWLästig
Zertifikat selbst prüfen: openssl s_client richtig lesen
s_client ist ein Testwerkzeug und setzt den Handshake nach Zertifikatsfehlern absichtlich fort. Eine erfolgreiche Verbindung beweist deshalb nichts.
SWAnfängerfehler
NET::ERR_CERT_DATE_INVALIDNET::ERR_CERT_DATE_INVALID – Zertifikatsfehler beheben
Browser blockt Seiten mit NET::ERR_CERT_DATE_INVALID? Meist geht nur die Systemuhr falsch. So korrigierst du Zeit und Zertifikatsprüfung.