5

Estou a tentar obter dados de uma API usando a extensão CURL do PHP mas não está a funcionar. O mesmo código num outro servidor está a funcionar.

Aqui funciona: Curl funciona

Mas aqui já não funciona: Curl não funciona

O código é:

<?php

    $con = curl_init();
    $url = "https://api.moloni.com/v1/companies/getOne/?access_token=123456";
    $my_values = array('company_id' => 0);

    curl_setopt($con, CURLOPT_URL, $url);
    curl_setopt($con, CURLOPT_POST, true);
    curl_setopt($con, CURLOPT_POSTFIELDS, http_build_query($my_values));
    curl_setopt($con, CURLOPT_HEADER, false);
    curl_setopt($con, CURLOPT_RETURNTRANSFER, true);

    $res_curl = curl_exec($con);
    curl_close($con);

    $res_txt = json_decode($res_curl, true);
    if(!isset($res_txt['error'])){
        echo 'Result: '.print_r($res_txt,true).'';
    }else{
        echo 'Erro: '.print_r($res_txt,true).'';
    }

    ini_set('display_errors', 1);
    ini_set('display_startup_errors', 1);
    error_reporting(E_ALL);

?>
8
  • 1
    Qual o erro que retorna quando "não funciona"?
    – user3603
    Commented 1/02/2016 às 12:16
  • Está a devolver este erro: Curl error: SSL certificate problem: unable to get local issuer certificate Commented 1/02/2016 às 12:22
  • Esta ai o problema, SSL. Você esta acessando uma URL segura e não tem o certificado
    – user3603
    Commented 1/02/2016 às 12:26
  • Como assim? Não entendo nada de certificados. É problema no servidor 2? É que no servidor 1 o mesmo código funciona sem problemas Commented 1/02/2016 às 12:29
  • Todo certificado tem um "issuer" ou "Certificate Authority (CA)" que é responsável por verificar a assinatura do certificado. O seu servidor 1 já tem o arquivo do CA, por isso funciona. No Linux você encontra os arquivos em /etc/ssl/certs/, você precisa verificar qual é o que esta falantando no servidor 2. Pelo navegador você consegue verificar os detalhes do certificado
    – user3603
    Commented 1/02/2016 às 12:33

2 Respostas 2

11

Pelo erro informado nos comentários, o problema é no SSL.

Existem alternativas, não muito recomendadas para solucionar (ou verificar se é este o problema).

Verificação:

Acrescente:

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 0);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 0);
// curl_setopt($ch, CURLOPT_CAINFO, 'local/crt.crt');

Explicação:

O CURLOPT_SSL_VERIFYHOST irá verificar se o host que está se conectando é o mesmo que o certificado foi recebido, simples assim. Quando estiver 2 ele então irá verificar o Subject Alternate Name e o Common Name field presente no certificado. Mante-lo desligado (0/false) irá ignorar a verificação.

O CURLOPT_SSL_VERIFYPEER é um pouco mais complexo. Quando habilitado ele irá verificar se o certificado que foi recebido (por quem você conectou) foi emitido (possuindo um CA confiável). Neste caso o cURL irá comparar os certificados se foi ou não emitido por alguém que confia, isso é recomendado. Manter desligado (0) irá fazer com que não verifique a autenticidade do certificado, deixando exposto inclusive para certificados self-signed e para ataques man-in-the-middle. O CURLOPT_CAINFO é justamente utilizado quando o CURLOPT_SSL_VERIFYPEER.

O CURLOPT_CAINFO permite escolher um local onde está localizado o certificado em seu servidor.

Experimente desligar tudo (como presente no trecho acima) e veja se o erro persiste, se ainda continuar o certificado não é o problema.

Lembre-se NUNCA UTILIZE ISTO EM PRODUÇÃO, você está desligando a verificação do SSL, se utilizar saiba que isto é extremamente vulnerável e não é confiável!

Solução:

Você tem duas opções:

1. Genérico (Vários Certification Authority):

Entre em https://curl.haxx.se/docs/caextract.html baixe o mais recente CA Bundle disponível para download.

OU

2. Certificado especifico (Certification Authority especifico):

Você pode optar por apenas confiar em um único emissor de SSL, ao invés de vários como da maneira acima. Dessa forma é preciso quem emitiu o certificado, assim confiar nele.

Utilize o Mozilla Firefox para isso!

  1. Entre no site desejado (exemplo: https://www.openssl.org).
  2. Clique no cadeado verde (ao lado do URL do site).
  3. Clique na seta ao lado de "Conexão segura" e clique em "Mais informações".
  4. Clique em "Ver certificado".

Isso irá mostrar todas as informações, mas você deseja salvar um em especifico.

  1. Clique na aba "Detalhes".

Existe um hierarquia, você precisa salvar o que é especifico do domínio.

No meu caso existem:

GlobalSign Root CA

GlobalSign Domain Validation CA - SHA256 - G2

.openssl.org

Selecione o primeiro (GlobalSign Root CA) e clique em "Exportar".

Utilizar:

Suponha a seguinte estrutura:

seuphp.php (que usa o cURL)
seucertifiado.crt (que acabou de salvar)

Modifique o código para:

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_CAINFO, 'caminho/para/seucertificado.crt');

Isso irá resolver o problema.

Os caminhos devem ser absolutos!


Isso é seguro? Sim, pode ser mais.

Se quiser confiar apenas em um certificado especifico, para muito mais segurança, você deve utilizar o CURLOPT_PINNEDPUBLICKEY, para isso você precisa ter o CURL na versão superior ao 7.39.0 e ter o PHP na versão 7.0.7, até porque usar uma versão obsoleta do PHP e querer segurança é meio incoerente.

Para isso obtenha o certificado do website (caso não tenha):

openssl s_client -servername www.example.com -connect www.example.com:443 < /dev/null | sed -n "/-----BEGIN/,/-----END/p" > /caminho/para/arquivo.pem

Depois disso adicione isto ao CURL:

curl_setopt($ch, CURLOPT_PINNEDPUBLICKEY, 'caminho/para/seucertificado.pem');

Isso irá verificar se o certificado informado ao CURL é o mesmo certificado que o CURL obteve ao se conectar, se for diferente a conexão será cancelada.

Isso é bastante útil se estiver se comunicando com website de pagamento, como PayPal, MoIP, PagSeguro, MercadoPago, isso dificulta ainda mais que haja uma falsificação de certificado que utilize um CA que confie.

4
  • Inkeliz muito obrigado pela sua resposta! Segui o seu tutorial mas ainda não consegui, agora obtenho o seguinte erro: Curl error: error setting certificate verify locations: CAfile: seucertificado.crt CApath: none Commented 1/02/2016 às 18:39
  • Certifique se o CAFile possui o mesmo nome. Se nomear para 'biscoito.crt' deve alterar no código também, verifique o diretório. Se não pode ser a ausência do 'ca-certificates', tente reinstalar usando yum reinstall ca-certificates ou similar.
    – Inkeliz
    Commented 1/02/2016 às 21:44
  • Consegui resolver, muito obrigado Inkeliz! Commented 2/02/2016 às 11:33
  • Também me ajudou, obrigado! Commented 11/01/2018 às 18:19
1

Antes de tudo, obrigado pela resposta detalhada, @Inkeliz. Resolvi meu problema com sua resposta, mas tinha que fazer uma pequena alteração para funcionar no meu caso ...

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 1);
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 2);
curl_setopt($ch, CURLOPT_CAINFO, 'caminho/para/seucertificado.crt');

esse caminho deu o seguinte erro: "error setting certificate verify locations: CAfile ...". Por isso, alterei seu codigo um poquinho:

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, 'caminho/para/seucertificado.crt');
curl_setopt($ch, CURLOPT_SSL_VERIFYHOST, 'caminho/para/seucertificado.crt');

Assim deu certo. Tomara que ajude para quem tem problema similar ...

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .