Pelo erro informado nos comentários, o problema é no SSL.
Existem alternativas, não muito recomendadas para solucionar (ou verificar se é este o problema).
Verificação:
Acrescente:
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
// curl_setopt($ch, CURLOPT_CAINFO, 'local/crt.crt');
Explicação:
O CURLOPT_SSL_VERIFYHOST
irá verificar se o host que está se conectando é o mesmo que o certificado foi recebido, simples assim. Quando estiver 2
ele então irá verificar o Subject Alternate Name
e o Common Name field
presente no certificado. Mante-lo desligado (0
/false
) irá ignorar a verificação.
O CURLOPT_SSL_VERIFYPEER
é um pouco mais complexo. Quando habilitado ele irá verificar se o certificado que foi recebido (por quem você conectou) foi emitido (possuindo um CA
confiável). Neste caso o cURL irá comparar os certificados se foi ou não emitido por alguém que confia, isso é recomendado. Manter desligado (0
) irá fazer com que não verifique a autenticidade do certificado, deixando exposto inclusive para certificados self-signed
e para ataques man-in-the-middle. O CURLOPT_CAINFO
é justamente utilizado quando o CURLOPT_SSL_VERIFYPEER
.
O CURLOPT_CAINFO
permite escolher um local onde está localizado o certificado em seu servidor.
Experimente desligar tudo (como presente no trecho acima) e veja se o erro persiste, se ainda continuar o certificado não é o problema.
Lembre-se NUNCA UTILIZE ISTO EM PRODUÇÃO, você está desligando a verificação do SSL, se utilizar saiba que isto é extremamente vulnerável e não é confiável!
Solução:
Você tem duas opções:
1. Genérico (Vários Certification Authority):
Entre em https://curl.haxx.se/docs/caextract.html baixe o mais recente CA Bundle disponível para download.
OU
2. Certificado especifico (Certification Authority especifico):
Você pode optar por apenas confiar em um único emissor de SSL, ao invés de vários como da maneira acima. Dessa forma é preciso quem emitiu o certificado, assim confiar nele.
Utilize o Mozilla Firefox para isso!
- Entre no site desejado (exemplo: https://www.openssl.org).
- Clique no cadeado verde (ao lado do URL do site).
- Clique na seta ao lado de "
Conexão segura
" e clique em "Mais informações
".
- Clique em "
Ver certificado
".
Isso irá mostrar todas as informações, mas você deseja salvar um em especifico.
- Clique na aba "
Detalhes
".
Existe um hierarquia, você precisa salvar o que é especifico do domínio.
No meu caso existem:
GlobalSign Root CA
GlobalSign Domain Validation CA - SHA256 - G2
.openssl.org
Selecione o primeiro (GlobalSign Root CA
) e clique em "Exportar
".
Utilizar:
Suponha a seguinte estrutura:
seuphp.php (que usa o cURL)
seucertifiado.crt (que acabou de salvar)
Modifique o código para:
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_CAINFO, 'caminho/para/seucertificado.crt');
Isso irá resolver o problema.
Os caminhos devem ser absolutos!
Isso é seguro? Sim, pode ser mais.
Se quiser confiar apenas em um certificado especifico, para muito mais segurança, você deve utilizar o CURLOPT_PINNEDPUBLICKEY
, para isso você precisa ter o CURL na versão superior ao 7.39.0 e ter o PHP na versão 7.0.7, até porque usar uma versão obsoleta do PHP e querer segurança é meio incoerente.
Para isso obtenha o certificado do website (caso não tenha):
openssl s_client -servername www.example.com -connect www.example.com:443 < /dev/null | sed -n "/-----BEGIN/,/-----END/p" > /caminho/para/arquivo.pem
Depois disso adicione isto ao CURL
:
curl_setopt($ch, CURLOPT_PINNEDPUBLICKEY, 'caminho/para/seucertificado.pem');
Isso irá verificar se o certificado informado ao CURL é o mesmo certificado que o CURL obteve ao se conectar, se for diferente a conexão será cancelada.
Isso é bastante útil se estiver se comunicando com website de pagamento, como PayPal, MoIP, PagSeguro, MercadoPago, isso dificulta ainda mais que haja uma falsificação de certificado que utilize um CA que confie.
/etc/ssl/certs/
, você precisa verificar qual é o que esta falantando no servidor 2. Pelo navegador você consegue verificar os detalhes do certificado