curl (77) problem with the SSL CA cert
curl exits with 77 (CURLE_SSL_CACERT_BADFILE), когда указанный CA-bundle файл не найден или не читаем. 3 причины: (1) отсутствует /etc/ssl/certs/ca-certificates.crt — не установлен пакет ca-certificates, (2) в container (alpine, scratch) CA-bundle отсутствует, (3) environment variable CURL_CA_BUNDLE указывает на несуществующий файл.
Ниже: подробности, пример, связанные, FAQ.
Детали
- Default bundle путь: /etc/ssl/certs/ca-certificates.crt (Debian), /etc/pki/tls/certs/ca-bundle.crt (RHEL)
- Alpine: apk add ca-certificates; затем update-ca-certificates
- Docker scratch: копируй bundle из распакованного образа
- --cacert /path/to/ca.pem — per-request override
- -k / --insecure skip verify — только для debug, НЕ production
Пример
# Debian/Ubuntu: установить bundle
$ apt-get install ca-certificates
# Alpine (Docker)
$ apk add --no-cache ca-certificates
$ update-ca-certificates
# Debug — какой bundle curl видит
$ curl -v https://example.com 2>&1 | grep -i "CAfile\|CApath"
# Дефолт через env
$ export CURL_CA_BUNDLE=/etc/ssl/certs/ca-certificates.crtСвязанные
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Alpine Docker - safe?
Да если добавить ca-certificates. Scratch — нужно копировать bundle из builder-image.
CI / CD?
Образы типа alpine:latest обычно имеют ca-certificates. gcr.io/distroless/base — тоже. Проверь Dockerfile.
Self-signed?
Либо --cacert путь к self-signed CA, либо import в system bundle через update-ca-certificates.