Python ssl.SSLCertVerificationError
Python requests/urllib3 падает с ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] unable to get local issuer certificate. Python берёт CA-bundle из пакета certifi. Фикс: pip install --upgrade certifi. На macOS — запустить /Applications/Python 3.x/Install Certificates.command. Corporate proxy с MITM — export REQUESTS_CA_BUNDLE=/path/to/corporate-ca.pem.
Ниже: подробности, пример, связанные, FAQ.
Детали
- requests library использует certifi.where() для default bundle
- SSL_CERT_FILE env var — override для std lib ssl
- REQUESTS_CA_BUNDLE — специально для requests
- macOS Python installer не устанавливает CAs автоматически — нужен Install Certificates.command
- verify=False отключает check (для debug!)
Пример
# Update certifi
$ pip install --upgrade certifi
# macOS fix
$ /Applications/Python\ 3.12/Install\ Certificates.command
# Corporate MITM proxy — add CA
$ export REQUESTS_CA_BUNDLE=/etc/ssl/certs/corporate-mitm.pem
# Python code: explicit bundle
import requests, certifi
resp = requests.get('https://api.example.com', verify=certifi.where())
# Debug only (NEVER in prod):
resp = requests.get('https://api.example.com', verify=False)Связанные
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
macOS fresh install — почему?
Python.org installer на macOS идёт с certifi, но system trust store — отдельный. Запуск Install Certificates.command линкует bundle.
Behind corporate VPN?
Exportнуть REQUESTS_CA_BUNDLE к corporate root CA. Обычно IT выдаёт файл.
verify=False OK?
Только для debug в dev. В prod = MITM-уязвимость. Используй httpbin.org с self-signed + local CA в trust.