certificate verify failed (self-signed certificate in certificate chain) (HTTPI::SSLError)

[martinGerez]

Si bien este error entiendo que no está directamente relacionado con la gema, me gustaría saber si alguien que la esté usando activamente pudo resolverlo.
Probé todas las opciones disponibles y no encuentro la forma cierta de poder resolver este error:

HTTPI::SSLError: SSL_connect returned=1 errno=0 peeraddr=200.1.116.57:443 state=error: certificate verify failed (self-signed certificate in certificate chain) (HTTPI::SSLError)
from /Users/martingerez/.rvm/gems/ruby-3.4.6/gems/httpi-4.0.4/lib/httpi/adapter/httpclient.rb:28:in 'HTTPI::Adapter::HTTPClient#request'
Caused by OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 peeraddr=200.1.116.57:443 state=error: certificate verify failed (self-signed certificate in certificate chain)
from /Users/martingerez/.rvm/gems/ruby-3.4.6/gems/httpclient-2.9.0/lib/httpclient/ssl_socket.rb:103:in 'OpenSSL::SSL::SSLSocket#connect'

Entiendo que puede estar relacionado con algunos cambios en los certificados de AFIP/ARCA: (https://www.afip.gob.ar/ws/documentacion/certificados.asp) pero no estoy seguro de cómo actualizarlos.

[simonleva]

Necesitás configurar los certificados SSL para trabajar con los endpoints de AFIP. Hay dos enfoques principales:

Opción 1: Usa los Certificados del Sistema

Si estás usando Docker/devcontainer, asegurate de que los certificados CA del sistema estén actualizados:
Dockerfile:

dockerfileRUN apt-get update -y && \
    apt-get install --only-upgrade -y ca-certificates && \
    update-ca-certificates && \
    rm -rf /var/lib/apt/lists/*

Después configurá la gem para usar los certificados del sistema:

ruby# frozen_string_literal: true
module Afipws
  class Client
    def initialize savon_options
      savon_opts = savon_options.reverse_merge(
        soap_version: 2,
        ssl_version: :TLSv1_2,
        ssl_ciphers: 'DEFAULT:!DH:!DHE',
        ssl_ca_cert_file: '/etc/ssl/certs/ca-certificates.crt'  # Bundle de CA del sistema
      )
      
      @savon = Savon.client savon_opts
    end

    def request action, body = nil
      @savon.call action, message: body
    rescue Savon::SOAPFault, Savon::HTTPError => e
      raise ServerError, e
    rescue HTTPClient::ConnectTimeoutError => e
      raise NetworkError.new(e, retriable: true)
    rescue HTTPClient::TimeoutError => e
      raise NetworkError, e
    end

    delegate :operations, to: :@savon
  end
end

• ssl_ciphers: 'DEFAULT:!DH:!DHE' - Necesario para evitar errores "dh key too small" con los servidores de AFIP
• ssl_ca_cert_file: '/etc/ssl/certs/ca-certificates.crt' - Apunta al bundle de CA del sistema que contiene los certificados raíz confiables

Opción 2: Incluir Certificados en la Gem

Si necesitás que la gem funcione de forma independiente sin dependencias del sistema, podés incluir los certificados CA requeridos (al principio use esta opcion pero la opcion 1 me parece que es la mejor):

Descargá los certificados necesarios segun:

• SSL.com: https://www.ssl.com/repository/ → Descargar SSL.com Root Certificates
• Sectigo: https://www.sectigo.com/knowledge-base/detail/Sectigo-Intermediate-Certificates/kA01N000000rfBO
• Lista de ARCA/AFIP: https://www.afip.gob.ar/ws/documentacion/autoridades-certificantes.asp (aca estan todos los que ARCA/AFIP usa)

Create un bundle de certificados:

bash   # Extraer los certificados que necesitás:
   # - SSLcomRootCertificationAuthorityRSA.pem (de SSL.com)
   # - USERTrust_RSA_Certification_Authority.crt (de Sectigo)
   # - Sectigo_Public_Server_Authentication_Root_R46.crt (de Sectigo)
   
   # Combinarlos en un solo archivo
   cat SSLcomRootCertificationAuthorityRSA.pem \
       USERTrust_RSA_Certification_Authority.crt \
       Sectigo_Public_Server_Authentication_Root_R46.crt \
       > afip-ca-bundle.crt

   lib/
   └── afipws/
       ├── client.rb
       └── certs/
           └── afip-ca-bundle.crt

Actualizar client.rb en algun fork o un initializer de rails:

ruby   # frozen_string_literal: true
   module Afipws
     class Client
       def initialize savon_options
         # Bundle de certificados CA para AFIP
         ca_bundle = File.join(File.dirname(__FILE__), 'certs', 'afip-ca-bundle.crt')
         
         savon_opts = savon_options.reverse_merge(
           soap_version: 2,
           ssl_version: :TLSv1_2,
           ssl_ciphers: 'DEFAULT:!DH:!DHE',
           ssl_ca_cert_file: ca_bundle
         )
         
         @savon = Savon.client savon_opts
       end

       def request action, body = nil
         @savon.call action, message: body
       rescue Savon::SOAPFault, Savon::HTTPError => e
         raise ServerError, e
       rescue HTTPClient::ConnectTimeoutError => e
         raise NetworkError.new(e, retriable: true)
       rescue HTTPClient::TimeoutError => e
         raise NetworkError, e
       end

       delegate :operations, to: :@savon
     end
   end