OpenSSL X509_V_ERR_DEPTH_ZERO_SELF_SIGNED_CERT: self-signed certificate

Что означает ошибка

Проверяемый leaf certificate самоподписан и не найден как доверенный certificate в trust store.

Возможные причины

• Сервис использует локальный self-signed cert.
• Клиент подключён к тестовому endpoint вместо production.
• Нужный private CA/root не установлен в доверенное хранилище клиента.

Что проверить

• Сверьте subject и issuer leaf: у self-signed они указывают на один сертификат.
• Проверьте fingerprint ожидаемого доверенного cert вне сетевого канала.
• Уточните, должен ли этот сервис использовать public CA или private PKI.

Безопасные шаги

1. Для private PKI установите именно доверенный root через управляемый trust mechanism.
2. Для публичного сервиса замените self-signed cert корректным chain.
3. Не используйте `-k`/verify-none как постоянное production решение.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• Если self-signed certificate должен быть доверенным, согласуйте его fingerprint и процедуру trust distribution с PKI/security командой.

Похожие ошибки

• /errors/openssl-unable-to-get-issuer-cert/
• /errors/openssl-unable-to-get-crl/
• /errors/openssl-cert-signature-failure/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• OpenSSL 3.6 X509_STORE_CTX_get_error — X509_V_ERR_DEPTH_ZERO_SELF_SIGNED_CERT