PKIX path building failed (Java)
Java SSLException "PKIX path building failed: unable to find valid certification path to requested target" — Java не может построить цепочку доверия. JVM truststore ($JAVA_HOME/lib/security/cacerts) не содержит CA или intermediate сервера. Фиксы: (1) keytool -import в cacerts, (2) -Djavax.net.ssl.trustStore для alternate truststore, (3) -Djavax.net.debug=ssl,handshake для диагностики.
Ниже: подробности, пример, связанные, FAQ.
Детали
- Default truststore: $JAVA_HOME/lib/security/cacerts, пароль "changeit"
- JDK 8u101+ умеет Let's Encrypt ISRG Root X1; older — нет
- keytool -list -v -keystore cacerts — показывает все trusted CAs
- Per-app truststore: -Djavax.net.ssl.trustStore=/path/to/custom.jks
- -Djavax.net.debug=ssl:handshake:verbose — полный TLS debug
Пример
# Скачать CA cert с сервера
$ echo | openssl s_client -connect server:443 -showcerts 2>/dev/null | \
openssl x509 -out server-ca.crt
# Import в Java cacerts
$ sudo /bin/keytool -import \
-alias server-ca \
-keystore /lib/security/cacerts \
-storepass changeit \
-file server-ca.crt
# Debug app
$ java -Djavax.net.debug=ssl:handshake MyAppСвязанные
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
Как не править cacerts системный?
Скопировать в app-specific jks + -Djavax.net.ssl.trustStore. Обновление JDK не сбросит.
Self-signed dev/test?
Для dev: TrustManager который принимает всё. НЕ включать в prod код.
Maven / Gradle?
-Djavax.net.ssl.trustStore в MAVEN_OPTS / GRADLE_OPTS, или <jvmArgs> в build файлах.