fix(site-finder): ГРС-лоадер — HARICA-интермедиат в CA-бандл (неполная цепочка Газпрома) #2125

Merged

bot-backend merged 1 commit from fix/gazprom-harica-intermediate into main

2026-07-02 13:49:15 +00:00

bot-backend commented

2026-07-02 13:33:27 +00:00

Collaborator

Вторая итерация SSL-фикса (после #2124)

Диагностика с прода показала: реальный издатель leaf-сертификата ekaterinburg-tr.gazprom.ru — HARICA DV TLS RSA (греческий УЦ, в доверенных), а не российский. Причина ошибки: сервер отдаёт только leaf без промежуточного (misconfig) — браузеры дотягивают intermediate по AIA, Python нет → «unable to get local issuer».

Фикс

Добавлен HARICA DV TLS Sub R1 (официальный AIA-URL crt.harica.gr/HARICA-DV-TLS-Sub-R1.cer, DER→PEM) в существующий бандл russian_trusted_ca_bundle.pem; комментарий уточнён («российский УЦ и/или неполная серверная цепочка»).

Верификация ДО merge

Бандл скопирован в прод-контейнер и проверен на живом сервере: GET .../informatsiya-o-tekhnicheskoj-vozmo/ → 200 с полной SSL-верификацией (224 KB, 1 таблица). Фикс рабочий, не вслепую.

После merge+deploy — прогон load_grs_capacity() → ~316 ГРС.

## Вторая итерация SSL-фикса (после #2124) Диагностика с прода показала: реальный издатель leaf-сертификата `ekaterinburg-tr.gazprom.ru` — **HARICA DV TLS RSA** (греческий УЦ, в доверенных), а не российский. Причина ошибки: **сервер отдаёт только leaf без промежуточного** (misconfig) — браузеры дотягивают intermediate по AIA, Python нет → «unable to get local issuer». ## Фикс Добавлен **HARICA DV TLS Sub R1** (официальный AIA-URL `crt.harica.gr/HARICA-DV-TLS-Sub-R1.cer`, DER→PEM) в существующий бандл `russian_trusted_ca_bundle.pem`; комментарий уточнён («российский УЦ и/или неполная серверная цепочка»). ## Верификация ДО merge Бандл скопирован в прод-контейнер и проверен на живом сервере: **`GET .../informatsiya-o-tekhnicheskoj-vozmo/` → 200 с полной SSL-верификацией** (224 KB, 1 таблица). Фикс рабочий, не вслепую. После merge+deploy — прогон `load_grs_capacity()` → ~316 ГРС.

bot-backend added 1 commit 2026-07-02 13:33:27 +00:00

fix(site-finder): ГРС-лоадер — HARICA-интермедиат в CA-бандл (неполная цепочка Газпрома)

CI / changes (pull_request) Successful in 8s

Details

CI / frontend-tests (pull_request) Has been skipped

Details

CI / openapi-codegen-check (pull_request) Successful in 1m56s

Details

CI / backend-tests (pull_request) Successful in 14m28s

Details

1221cff3de

Вторая итерация SSL-фикса: реальный издатель leaf-сертификата
ekaterinburg-tr.gazprom.ru — HARICA DV TLS RSA (греческий УЦ, есть в доверенных),
но сервер отдаёт ТОЛЬКО leaf без промежуточного (misconfig) → «unable to get
local issuer». Браузеры дотягивают intermediate по AIA, Python — нет.

Добавлен HARICA DV TLS Sub R1 (AIA: crt.harica.gr/HARICA-DV-TLS-Sub-R1.cer,
DER→PEM) в существующий бандл. Комментарий бандла уточнён: «российский УЦ и/или
неполная серверная цепочка».