Python: ssl.SSLCertVerificationError — certificate verify failed

#Что означает ошибка

ssl.SSLCertificateVerifyError: certificate verify failed: unable to get local issuer certificate в Python означает, что библиотека не смогла проверить сертификат сервера. Причины: устаревший пакет сертификатов, корпоративный прокси с подменой сертификата, самоподписанный сертификат или (на macOS) не установлены сертификаты Python.

Отключать проверку (verify=False) опасно: так вы теряете защиту от подмены.

Правильное решение — доверить нужный сертификат или обновить хранилище.

Python не может подтвердить цепочку доверия к конкретному узлу. Причиной могут быть дата/время, ошибка имени/срока сертификата, отсутствующий корневой или промежуточный сертификат, устаревший набор CA либо проверяющий HTTPS корпоративный прокси. Сначала установите причину; обновление certifi поможет только при использовании этого набора доверенных центров.

#Причины и решения

#Пошаговое решение

1. Обновите certifi и PythonЕсли Python выдаёт SSLCertVerificationError, скопируйте адрес сервера и текст причины (unable to get local issuer certificate, certificate has expired или hostname mismatch). На компьютере откройте настройки даты, времени и часового пояса; убедитесь, что время корректно. В активном виртуальном окружении выполните python -m pip --version и, если используется пакет requests с certifi, python -m pip show certifi; обновляйте certifi в том же окружении, где работает приложение: python -m pip install --upgrade certifi. Обновление certifi не решает ошибок имени сервера или его неправильной цепочки и не обязано влиять на стандартный ssl модуль.
2. Для macOS запустите Install Certificates.commandТолько для Python, установленного с официального установщика python.org на macOS, откройте Finder → «Программы» → папку «Python 3.x» → Install Certificates.command и следуйте инструкциям. Для Homebrew, pyenv и системного Python такой файл может отсутствовать — это нормально: сертификаты управляются иначе. Проверьте повторный HTTPS-запрос из того же интерпретатора; если ошибка осталась, не скачивайте случайные корневые сертификаты с форумов.
3. Проверьте цепочку сертификатов сервераЕсли ошибка воспроизводится только на конкретном веб-сайте, проверьте его адрес и сертификат в обычном браузере; при предупреждении браузера не вводите пароли и не обходите защиту. Администратор сервера может проверить полную цепочку и совпадение имени через openssl s_client -connect example.com:443 -servername example.com -showcerts (заменив домен), затем исправить установку промежуточных сертификатов на сервере. Успешное соединение openssl само по себе не всегда означает успешную проверку доверия; рассматривайте текст Verify return code. Пользователь чужого сайта не должен изменять его сертификат.
4. Для корпоративной сети укажите свой CAЕсли сбой возникает только в корпоративной сети, узнайте у администратора, используется ли разрешённый корпоративный центр сертификации при проверке HTTPS. Получите его сертификат через официальный внутренний канал. Для requests можно настроить REQUESTS_CA_BUNDLE на проверенный файл PEM, но это не универсальная настройка Python: другая библиотека может читать системное хранилище или SSL_CERT_FILE. Сохраните прежние значения переменных окружения для отката и повторите запрос. Не добавляйте случайные сертификаты и не отключайте системную защиту.
5. Не отключайте проверкуНикогда не исправляйте эту ошибку установкой verify=False, PYTHONHTTPSVERIFY=0 или отключением проверки имени хоста: соединение станет уязвимым для подмены. Если проблема не решена, предоставьте администратору точный traceback (без секретов), версию Python, способ установки, домен, состояние браузера и сведения, возникает ли ошибка вне корпоративной сети. Далее исправляется конкретная цепочка сертификатов или конфигурация доверия, а не выключается TLS.
6. Дополнительная команда по теме

   Linux · Терминал (Bash)КомандаКопировать всёВыделить

   Команды диагностики в активном окружении; обновление certifi только если используется соответствующее хранилище сертификатов.

   python -m pip show certifi

   python -m pip --version

#Быстрые решения

Для приложения с Requests проверьте текущее окружение и набор certifi, а затем при необходимости обновите его. Install Certificates.command существует в установке Python с python.org на macOS, но отсутствует у многих других сборок. Если браузер также сообщает о недоверенном сертификате, нужно исправлять сертификат/цепочку сайта на стороне его владельца. Не устанавливайте неизвестные CA из интернета.

#Корпоративный прокси и свой сертификат

Только в согласованной корпоративной сети получите официальный сертификат CA у администратора безопасности и сохраните PEM в защищённом месте. Библиотеки Python используют разные хранилища; Requests может читать переменную REQUESTS_CA_BUNDLE, а pip имеет собственные настройки. Не изменяйте глобальные переменные и настройки pip без понимания последствия для других приложений.

#Чего избегать

Не устанавливайте verify=False, PYTHONHTTPSVERIFY=0 и не пропускайте проверку имени узла даже на практике разработки, где это может перейти в рабочую среду. Исправляйте доверенные CA либо серверную цепочку. Для самоподписанного сертификата собственного сервера создайте доверенную инфраструктуру и привяжите к ней нужное приложение, не отключая проверку TLS.