- Problem: Bruke ikke-klarert sertifiseringsinstans eller et selvsignert sertifikat
Løsning: Bruk et offentlig CA-utstedt SSL-sertifikat for servren for webhook-tilbakeringing.
Veiledning for Adobe Acrobat Sign
Nyheter
Kom i gang
Administrer
Sende, signere og behandle avtaler
Avanserte avtalefunksjoner og arbeidsflyter
Integrere med andre produkter
Acrobat Sign-utvikler
Kundestøtte og feilsøking
Toveis SSL, ofte kalt klientside-SSL, er en SSL-modus der både serveren og klienten (nettleseren) presenterer sertifikater for å identifisere seg.
Kontoadministratorer kan konfigurere et sertifikat på klientsiden på siden med Sikkerhetsinnstillinger.
Acrobat Sign bekrefter SSL-sertifikatene ved levering av nyttelaster til webhook-nettadressen. Webhooks som ikke består SSL-sertifikatbekreftelsen vil ikke levere JSON-nyttelasten.
Bruk toveis SSL for å godkjenne klienten (Acrobat Sign) og lyttetjenesten for å sikre at bare Acrobat Sign kan nå webhook-nettadressen din.
Hvis webhooken ble opprettet av et Partnerprogram, vil webhooken bruke et klientsertifikat (hvis tilgjengelig) fra partnerprogrammets konto til å identifisere seg når den sender webhook-varsler.
Nedenfor er de vanligste spørsmålene for både webserverbekreftelsesprosessen og klientsertifiseringsbekreftelsen.
Under registreringen av en webhook bekrefter Acrobat Sign webhook-server-URL-en.
Kundene vil ikke kunne registrere webhook hvis tilkoblingen til webhook-tilbakeringingsadressen ikke kan fullføres fra Acrobat Sign.
Nei.
Nettadressen for twebhook-tilbakekall kan bare være HTTPS på port 443 eller 8443.
Acrobat Sign blokkerer utgående HTTPS-trafikk til alle andre porter.
En god måte å bekrefte serversertifikatet på er å bruke diagnoseverktøyet DigiCert® SSL Installation Diagnostics Tool.
Oppgi bare vertsnavnet, f.eks.: www.digicert.com
Vanlige problemer inkluderer:
Løsning: Bruk et offentlig CA-utstedt SSL-sertifikat for servren for webhook-tilbakeringing.
Løsning: Installer de mellomliggende sertifikatene på serveren for webhook-tilbakeringing.
Du finner mer informasjon på https://www.digicert.com/kb/ssl-certificate-installation.htm.
For å kunne sette opp en toveis SSL for en webhook, krever vi at administratoren laster opp en .p12 (eller .pfx)-fil som inneholder den private nøkkelen. Filen lagres sikkert i kundekontoen, og administratoren har full kontroll for å fjerne den når som helst.
I et toveis webhook-oppsett er Acrobat Sign oppringeren/klienten og trenger den private nøkkelen for å bevise at samtalen er foretatt av Acrobat Sign på vegne av kundekontoen.
Kontroller at toveis SSL er aktivert
Toveis SSL må være aktivert på serveren for webhook-tilbakeringing.
Koble til webhook-adressen for tilbakeringing ved hjelp av en hvilken som helst nettleser. Du bør få:
400 Feil i forespørsel Ingen nødvendig SSL-sertifikat sendt
Dette betyr at serveren forventer at klienten sender klientsertifikater (dvs. at toveis SSL er aktivert for serveren).
Hvis du ikke ser meldingen ovenfor, er ikke toveis SSL aktivert.
Du kan bruke Postman, og gjøre en POST forespørsel til URL for webhook-tilbakeringing. Du bør få et lignende resultat.
Klientlegitimasjonen kan enten være et selvsignert sertifikat eller et sertifikat utstedt av sertifiseringsinstanssen. Den må imidlertid minst oppfylle følgende krav: X.509 v3-utvidelser:
X.509 v3-utvidelse |
Verdi |
---|---|
ExtendedKeyUsage |
clientAuth (OID: 1.3.6.1.5.5.7.3.2) |
KeyUsage |
digitalSignature |
Klientsertifikatet må være en PKCS12-fil med filtypen .p12 eller .pfx, og det må inneholde både klientsertifikatet (slik at serveren kan bekrefte identiteten til klienten) og klientens private nøkkel (slik at klienten digitalt kan signere meldinger som serveren kan bekrefte under SSL-håndtrykket).
Bruk kommandoen openssl for å bekrefte filen p12 (pfx):
openssl pkcs12 -info -in outfile.p12
Det bør bes om passordet for den private nøkkelen. Utdataene skal inneholde både sertifikater og en kryptert privat nøkkel som:
Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB subject=/C=US/ST=California/L=San Jose/O=Adobe Inc./CN=sp.adobesignpreview.com issuer=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 -----BEGIN CERTIFICATE----- MIIGwDCCBaigAwIBAgIQAhJSKDdyQZjlbYO5MJAYOTANBgkqhkiG9w0BAQsFADBP MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE ... JAKQLQ== -----END CERTIFICATE----- Bag Attributes: <No Attributes> subject=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA -----BEGIN CERTIFICATE----- MIIEvjCCA6agAwIBAgIQBtjZBNVYQ0b2ii+nVCJ+xDANBgkqhkiG9w0BAQsFADBh MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3 ... -----END CERTIFICATE----- Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB Key Attributes: <No Attributes> -----BEGIN ENCRYPTED PRIVATE KEY----- MIIFDjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7eNh2qlsLPkCAggA ... FHE= -----END ENCRYPTED PRIVATE KEY-----
Sertifikatene bør minst omfatte sertifikatet for sluttenhet og de mellomliggende sertifikatene. Ideelt sett vil den også inneholde root CA-sertifikatet.
Kontroller at .p12- eller .pfx-filen er passordbeskyttet.
Opprett et selvsignert klientsertifikat (valgfritt)
Klientsertifikater kan enten være CA-utstedt eller selvsignert, avhengig av ditt behov.
Bruk følgende openssl-kommando for å generere et selvsignert klientsertifikat:
openssl req -newkey rsa:4096 -keyform PEM -keyout ca.key -x509 -days 3650 -outform PEM -out ca.cer
Hold de resulterende filene hemmelige ettersom de er dine selvsignerte sertifikater.
Deretter genererer du klientfilen .p12:
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.req
openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extensions client -days 365 -outform PEM -out client.cer
openssl pkcs12 -export -inkey client.key -in client.cer -out client.p12
rm client.key client.cer client.req
Når den er konfigurert, sender du en POST forespørsel til webhook callback-nettadresse.
Du burde få 200 svar.
Hvorfor avviser Acrobat Sign PFX-filen min selv etter at jeg har bekreftet den med Postman?
Hvis du har fulgt prosessen ovenfor for bekreftelse av pfx-fil, og Acrobat Sign fremdeles avviser pfx-filen, er det sannsynlig at filen ble generert av et Microsoft-verktøy som kan produsere en PKCS12-fil som ikke er standard.
I så fall kan du bruke kommandoene nedenfor for å pakke ut sertifikatene og den private nøkkelen fra pfx-filen, og deretter generere en riktig formatert PKCS12-fil:
// Trekk ut sertifikater og privat nøkkel fra pfx-fil openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.crt -nokeys openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.key -nodes -nocerts // Opprett ny PKCS12-fil openssl pkcs12 -export -inkey clientcert.key -in clientcert.crt -out clientcert.pfx