- Problem: Brug af en upålidelig CA eller selvsigneret certifikat
Rettelse: Brug et offentligt CA-udstedt SSL-certifikat til webhook-tilbagekaldelsesserveren.
Nyheder
Kom godt i gang
Administrer
Send, underskriv og administrer aftaler
Avancerede aftalefunktioner og arbejdsforløb
Integrer med andre produkter
Acrobat Sign-udvikler
Support og fejlfinding
To-vejs-SSL, ofte kaldet Client-Side SSL eller fælles TLS, er en SSL-tilstand, hvor både serveren og klienten (webbrowseren) præsentere certifikater til at identificere sig.
Kontoadministratorer kan konfigurere et klientcertifikat på siden Sikkerhedsindstillinger.
Acrobat Sign verificerer SSL-certifikaterne, når de leverer nyttelast til webhook-URL'en. Webhooks, der ikke opfylder SSL-certifikatkontrollen, vil ikke levere JSON-belastningen korrekt.
Brug tovejs-SSL til at godkende klienten (Acrobat Sign) og lyttetjenesten for at sikre, at kun Acrobat Sign kan nå din webhook-URL.
Hvis webhooken er oprettet af et partnerprogram, vil webhooken bruge et klientcertifikat (hvis det er tilgængeligt) fra partnerprogrammets konto til at identificere sig, når der sendes webhook-notifikationer.
Nedenfor vises de mest almindelige spørgsmål angående både webserverbekræftelsesprocessen og klientcertificeringsbekræftelsen.
Under registreringen af en webhook bekræfter Acrobat Sign URL'en for webhook-serveren.
Kunder vil ikke kunne registrere webhook, hvis forbindelsen til webhook tilbagekaldelses-URL'en ikke kan fuldføres fra Acrobat Sign.
Nej.
Webhook-tilbagekaldelses-URL'en kan kun være HTTPS på port 443 eller 8443.
Acrobat Sign blokerer udgående HTTPS-trafik til alle andre porte.
En god måde at bekræfte servercertifikatet på er at bruge DigiCert® SSL Installation Diagnostics Tool.
Angiv kun værtsnavnet f.eks.: www.digicert.com
Almindelige problemer omfatter:
Rettelse: Brug et offentligt CA-udstedt SSL-certifikat til webhook-tilbagekaldelsesserveren.
Rettelse: Installer de mellemliggende certifikater på webhook-tilbagekaldelsesserveren.
Se https://www.digicert.com/kb/ssl-certificate-installation.htm for yderligere oplysninger.
For at oprette en tovejs-SSL til en webhook, kræver vi, at administratoren uploader en .p12 (eller .pfx) fil, der indeholder den private nøgle. Filen gemmes sikkert i kundekontoen, og administratoren har fuld kontrol over at fjerne den når som helst.
I opsætning med en to-vejs-webhook er Acrobat Sign opkalder/klient og skal bruge den private nøgle til at bevise, at opkaldet er foretaget af Acrobat Sign på vegne af leverandørens konto.
Bekræft, at tovejs-SSL er aktiveret
Tovejs-SSL skal være aktiveret på webhook-tilbagekaldelsesserveren.
Ved hjælp af en hvilken som helst webbrowser skal du oprette forbindelse til webhook-tilbagekaldelses-URL'en. Du bør få:
400 Fejl i anmodning Intet påkrævet SSL-certifikat sendt
Det betyder, at serveren forventer, at klienten sender klientcertifikater (dvs. at tovejs-SSL er aktiveret for serveren).
Ser du ikke ovenstående besked, er tovejs-SSL ikke aktiveret.
Du kan bruge Postman og foretage en POST-anmodning til webhook-tilbagekaldelses-URL'en. Det burde resultere i et lignende resultat.
Klientens legitimationsoplysninger kan enten være et selvsigneret certifikat eller et CA-udstedt certifikat. Den skal dog mindst opfylde krav til følgende X.509 v3-udvidelser:
X.509 v3-udvidelse |
Værdi |
---|---|
ExtendedKeyUsage |
clientAuth (OID: 1.3.6.1.5.5.7.3.2) |
KeyUsage |
digitalSignature |
Klientcertifikatet skal være en PKCS12-fil med filtypen .p12 eller .pfx, og det skal indeholde både klientcertifikatet (så serveren kan verificere klientens identitet) og klientens private nøgle (så klienten digitalt kan underskrive meddelelser, som serveren kan verificere under SSL-håndtryk).
Brug kommandoen openssl til at bekræfte filen p12 (pfx):
openssl pkcs12 -info -in outfile.p12
Adgangssætningen for den private nøgle skal anmodes. Outputtet skal indeholde både certifikater samt en krypteret privat nøgle som:
Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB subject=/C=US/ST=California/L=San Jose/O=Adobe Inc./CN=sp.adobesignpreview.com issuer=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 -----BEGIN CERTIFICATE----- MIIGwDCCBaigAwIBAgIQAhJSKDdyQZjlbYO5MJAYOTANBgkqhkiG9w0BAQsFADBP MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE ... JAKQLQ== -----END CERTIFICATE----- Bag Attributes: <No Attributes> subject=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA -----BEGIN CERTIFICATE----- MIIEvjCCA6agAwIBAgIQBtjZBNVYQ0b2ii+nVCJ+xDANBgkqhkiG9w0BAQsFADBh MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3 ... -----END CERTIFICATE----- Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB Key Attributes: <No Attributes> -----BEGIN ENCRYPTED PRIVATE KEY----- MIIFDjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7eNh2qlsLPkCAggA ... FHE= -----END ENCRYPTED PRIVATE KEY-----
Certifikaterne bør mindst omfatte slutenhedscertifikatet og de mellemliggende certifikater. Ideelt set vil den også indeholde root CA-certifikatet.
Kontrollér, at .p12- eller .pfx-filen er beskyttet med adgangssætning.
Opret et selvunderskrevet klientcertifikat (valgfrit)
Klientcertifikater kan enten være CA-udstedt eller selvsigneret, afhængigt af dit behov.
Brug følgende openssl-kommando til at generere et selvsigneret klientcertifikat:
openssl req -newkey rsa:4096 -keyform PEM -keyout ca.key -x509 -days 3650 -outform PEM -out ca.cer
Hold de resulterende filer hemmelige, da de er dine selvsignerede CA-certifikater.
Derefter skal du generere klienten .p12 fil:
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.req
openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extensions client -days 365 -outform PEM -out client.cer
openssl pkcs12 -export -inkey client.key -in client.cer -out client.p12
rm client.key client.cer client.req
Når det er konfigureret, skal du sende en POST anmodning til webhook callback URL.
Du burde få et svar på 200.
Hvorfor afviser Acrobat Sign min PFX-fil, selv efter at jeg har verificeret den med Postman?
Hvis du har fulgt ovenstående proces for pfx-filverifikation, og Acrobat Sign stadig afviser pfx-filen, er det sandsynligt, at filen blev genereret af et Microsoft-værktøj, der kan producere en ikke-standard PKCS12 fil.
I så fald skal du bruge nedenstående openssl-kommandoer til at udtrække certifikaterne og den private nøgle fra pfx-filen og derefter generere en korrekt formateret PKCS12-fil:
// Udtræk certifikater og privat nøgle fra pfx-fil openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.crt -nokeys openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.key -nodes -nocerts // Opret ny PKCS12-fil openssl pkcs12 -export -inkey clientcert.key -in clientcert.crt -out clientcert.pfx