关于reCAPTCHA Enterprise出现UNEXPECTED_ENVIRONMENT错误的技术咨询

核心结论 #

是的，客户网络中的**拦截代理（SSL剥离）**正是触发UNEXPECTED_ENVIRONMENT错误及reCAPTCHA评分<0.5的核心原因，与Google的HSTS、证书绑定等安全机制直接冲突。

具体冲突原因 #

• 证书绑定验证失败：reCAPTCHA依赖的Google域名（如google.com、gstatic.com）启用了证书绑定技术，会预先校验服务器证书的指纹。拦截代理动态替换为内部CA签发的证书后，客户端侧的证书指纹与reCAPTCHA预期的官方指纹不匹配，被判定为异常环境。
• HSTS强制安全校验：Google核心域名已启用HSTS，要求客户端仅信任官方根CA签发的证书。拦截代理的内部CA不在浏览器默认信任链中（即使手动添加，HSTS的严格模式仍可能拒绝非官方证书链），导致连接环境被标记为不安全。
• 异常IP触发风控：日志中serverIPAddress固定为10.1.3.3（内部代理IP），reCAPTCHA会校验请求来源IP是否属于Google服务的合法IP段，固定内部IP会被识别为可疑中转环境，直接拉低评分。

解决方案建议 #

• 绕过代理解密reCAPTCHA相关域名：让客户配置拦截代理，对以下域名跳过SSL解密（直接透传HTTPS流量）：
  • recaptchaenterprise.googleapis.com
  • www.google.com
  • www.gstatic.com
  • recaptcha.net（针对部分地区的备用域名）
    这是最直接有效的解决方式，能避免证书绑定和HSTS的冲突。
• 配置代理传递真实客户端IP：调整反向代理设置，在请求头中添加X-Forwarded-For或X-Real-IP字段，将真实用户IP传递给reCAPTCHA服务，避免因固定内部IP触发风控。
• 排查防火墙额外限制：确认防火墙未对reCAPTCHA请求的头部（如User-Agent、Referer）或内容进行篡改，同时确保放行443端口的双向流量，无带宽或连接数限制。
• 不推荐的折中方案（仅万不得已时使用）：若客户必须对这些域名做解密，需确保内部CA证书完全符合Google的证书规范（包含正确的SAN字段、使用合规签名算法、有效期合法），但即使如此，证书绑定机制仍可能拒绝非官方证书，成功率极低。

内容的提问来源于stack exchange，提问作者Ramakanth