Claude Code: SSL certificate error - jak naprawić certyfikat

Claude Code

Claude Code: SSL certificate error - jak naprawić certyfikat

W skrócie

Claude Code nie ufa certyfikatowi, który dostał przy połączeniu z API, bo nie potrafi domknąć łańcucha do zaufanego wystawcy. Prawie zawsze stoi za tym firmowa inspekcja SSL. Pokazujemy, jak to naprawić bezpiecznie.

Jak to wygląda w praktyce

W terminalu pojawia się błąd certyfikatu, na przykład self signed certificate in certificate chain albo UNABLE_TO_GET_ISSUER_CERT_LOCALLY. Połączenie do API zostaje przerwane na etapie negocjacji TLS.

Objaw pojawia się typowo w sieci firmowej albo na komputerze z korporacyjnym antywirusem, a znika, gdy przełączysz się na sieć domową bez inspekcji ruchu.

Dlaczego tak się dzieje

Błąd oznacza, że Node nie potrafi zweryfikować łańcucha certyfikatów aż do zaufanego wystawcy. Najczęstsza przyczyna to firmowy proxy z inspekcją SSL: przechwytuje szyfrowany ruch, deszyfruje go i podstawia własny certyfikat wystawiony przez firmowe CA. To CA nie jest znane ani systemowi, ani Node, więc łańcuch wygląda na niezaufany albo samopodpisany.

Rzadziej problem wynika z braku firmowego certyfikatu CA w magazynie zaufanych certyfikatów systemu albo z antywirusa, który również przechwytuje i podmienia certyfikaty. Efekt jest ten sam - api.anthropic.com przedstawia certyfikat, którego narzędzie nie umie zaufać.

Jak to rozwiązać krok po kroku

1. Zdobądź od działu IT plik firmowego certyfikatu CA (zwykle w formacie .pem albo .crt). To ten certyfikat, którym proxy podpisuje przechwytywany ruch.
2. Dodaj firmowe CA do magazynu zaufanych certyfikatów systemu operacyjnego, żeby cały komputer mu ufał.
3. Wskaż certyfikat bezpośrednio Node przez zmienną NODE_EXTRA_CA_CERTS ustawioną na ścieżkę do pliku CA, na przykład NODE_EXTRA_CA_CERTS=C:\certs\firma-ca.pem, i uruchom Claude Code ponownie.
4. Sprawdź, czy antywirus nie przechwytuje ruchu HTTPS. Jeśli tak, dodaj jego CA w ten sam sposób albo wyłącz skanowanie SSL dla ruchu deweloperskiego.
5. Jeśli nie masz certyfikatu, poproś dział IT wprost o firmowy plik CA używany przez proxy - bez niego nie da się poprawnie domknąć łańcucha.
6. NIE wyłączaj weryfikacji TLS na stałe. Ustawienie NODE_TLS_REJECT_UNAUTHORIZED=0 otwiera dziurę bezpieczeństwa i naraża Cię na podsłuch - używaj go najwyżej doraźnie do samej diagnozy i natychmiast wycofaj.

Jak sprawdzić, że zadziałało

Po dodaniu CA i ustawieniu NODE_EXTRA_CA_CERTS uruchom krótkie polecenie w Claude Code. Brak błędu certyfikatu oznacza, że łańcuch domyka się do zaufanego wystawcy.

Możesz też sprawdzić samo połączenie: curl -I https://api.anthropic.com powinno wrócić z nagłówkami HTTP bez ostrzeżeń o certyfikacie. Czysty wynik potwierdza, że system i narzędzia ufają teraz certyfikatowi przedstawianemu przez proxy.

Wróć do listy problemów z Claude Code

Szkolenie Claude Code - od zera do zespołu agentów AI -->

Szkolenie Claude Code - od zera do zespołu agentów AI

Tryb planowania, tryby uprawnień, komendy, MCP, hooki i systemy multi-agent - wszystko na żywym kodzie podczas trzydniowego szkolenia. Prowadzi Łukasz Matuszewski. Szkolenie ma terminy gwarantowane - odbędzie się niezależnie od liczby zgłoszeń.

Sprawdź szkolenie Claude Code

To szkolenie może być dofinansowane dla Ciebie z KFS lub BUR.

★★★★★Średnia ocena naszych szkoleń w Google: 5/5