Ошибка PKIX path building failed при HTTPS соединении в Java — как исправить?

Что означает ошибка PKIX path building failed?

Ошибка возникает, когда Java не может проверить SSL-сертификат сервера, к которому вы пытаетесь подключиться. Встроенное хранилище доверенных сертификатов (cacerts) Java не содержит цепочку сертификатов, которой подписан сертификат целевого сервера. Это может произойти, если:

• Сервер использует самоподписанный сертификат
• Сертификат выпущен внутренним корпоративным центром сертификации
• У вас устаревшая версия Java, в которой нет современных корневых сертификатов
• Проблемы с прокси или брандмауэром, подменяющим сертификаты

Способ 1: Импорт сертификата в truststore Java (рекомендуемый, безопасный)

Сначала скачайте сертификат сервера. Откройте сайт в браузере, нажмите на замок в адресной строке → "Сертификат" → вкладка "Детали" → "Экспорт". Сохраните файл с расширением .cer. Затем выполните команду:

keytool -import -trustcacerts -keystore "%JAVA_HOME%\lib\security\cacerts" -storepass changeit -alias mycert -file certificate.cer

На Linux/Mac замените путь на $JAVA_HOME/lib/security/cacerts. Пароль по умолчанию — changeit. После этого перезапустите приложение.

Способ 2: Программное добавление сертификата в runtime (безопасно для одного приложения)

Если вы не хотите менять системный truststore, можно загрузить сертификат динамически:

import javax.net.ssl.*;
import java.io.*;
import java.security.KeyStore;
import java.security.cert.CertificateFactory;
import java.security.cert.X509Certificate;

public class SslUtil {
    public static void trustCertificate(File certFile) throws Exception {
        // Загружаем сертификат из файла
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        X509Certificate cert;
        try (InputStream is = new FileInputStream(certFile)) {
            cert = (X509Certificate) cf.generateCertificate(is);
        }

        // Создаем новый truststore
        KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());
        ks.load(null, null); // пустой хранилище
        ks.setCertificateEntry("trusted", cert);

        // Инициализируем TrustManager
        TrustManagerFactory tmf = TrustManagerFactory.getInstance(TrustManagerFactory.getDefaultAlgorithm());
        tmf.init(ks);

        // Создаем SSLContext
        SSLContext sslContext = SSLContext.getInstance("TLS");
        sslContext.init(null, tmf.getTrustManagers(), null);

        // Устанавливаем для всех соединений по умолчанию
        HttpsURLConnection.setDefaultSSLSocketFactory(sslContext.getSocketFactory());
    }
}

// Использование:
SslUtil.trustCertificate(new File("certificate.cer"));
URL url = new URL("https://example.com/api/data");
HttpsURLConnection conn = (HttpsURLConnection) url.openConnection();
// ... работаем как обычно

Способ 3: Временное отключение проверки (только для разработки/отладки!)

Никогда не используйте это в продакшене! Это делает соединение уязвимым для атак Man-in-the-Middle.

// Создаем TrustManager, который доверяет всем сертификатам
TrustManager[] trustAllCerts = new TrustManager[]{
    new X509TrustManager() {
        public java.security.cert.X509Certificate[] getAcceptedIssuers() { return null; }
        public void checkClientTrusted(X509Certificate[] certs, String authType) { }
        public void checkServerTrusted(X509Certificate[] certs, String authType) { }
    }
};

SSLContext sc = SSLContext.getInstance("TLS");
sc.init(null, trustAllCerts, new java.security.SecureRandom());
HttpsURLConnection.setDefaultSSLSocketFactory(sc.getSocketFactory());

// Также отключаем проверку имени хоста (HostnameVerifier)
HostnameVerifier allHostsValid = (hostname, session) -> true;
HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);

Рекомендации

Для production-среды всегда используйте способ 1 или 2. Проверьте также, не блокирует ли ваш корпоративный прокси трафик (настройте System.setProperty("https.proxyHost", "...")). Если сертификат выпущен Let's Encrypt, обновите Java до версии 8u101+, где эти сертификаты уже встроены.

import org.apache.http.conn.ssl.SSLConnectionSocketFactory;
import org.apache.http.conn.ssl.TrustSelfSignedStrategy;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.ssl.SSLContextBuilder;

import javax.net.ssl.SSLContext;

SSLContext sslContext = SSLContextBuilder.create()
        .loadTrustMaterial(new TrustSelfSignedStrategy())
        .build();

SSLConnectionSocketFactory sslsf = new SSLConnectionSocketFactory(sslContext);
CloseableHttpClient httpClient = HttpClients.custom()
        .setSSLSocketFactory(sslsf)
        .build();

// Теперь используйте httpClient для запросов