Elasticsearch运行于HTTPS而非HTTP时证书不信任报错如何修复

该报错触发的核心原因是：访问开启HTTPS协议的Elasticsearch服务时，HTTP客户端未信任服务端出示的SSL证书，连接被Netty网络层主动断开。Elasticsearch 8.0及以上版本默认开启HTTP层SSL认证，首次启动会自动生成本地自签名CA证书，未做证书信任配置的客户端访问时必然触发该错误。

• 校验Elasticsearch服务端SSL配置：打开ES配置目录下的elasticsearch.yml文件，确认xpack.security.http.ssl.enabled参数值，若为true则9200端口强制走HTTPS协议，不支持明文HTTP请求。
• 校验客户端请求协议：检查发起请求的地址前缀，若为http://开头先替换为https://，排除协议不匹配的低级错误。
• 校验客户端证书配置：确认客户端是否加载了ES服务端的可信证书，排查是否存在证书过期、域名不匹配（比如证书绑定localhost你用127.0.0.1访问）的问题。

本地测试环境快速修复（禁止用于生产） #

• 临时忽略证书校验：用curl访问时添加-k参数跳过证书校验，示例：curl -k https://127.0.0.1:9200 -u elastic:你的ES密码
• 客户端SDK配置跳过校验：Java、Python等语言的ES客户端初始化时，可自定义SSL上下文关闭证书校验逻辑，仅适合本地调试场景。
• 直接关闭HTTPS：如果本地测试不需要加密传输，在elasticsearch.yml中把xpack.security.http.ssl.enabled设置为false，重启ES后即可用普通HTTP协议访问。

生产环境合规修复 #

1. 获取ES服务端CA证书：默认自动生成的CA证书存放在ES配置目录的certs子文件夹下，文件名为http_ca.crt；如果是自定义签发的证书，找运维拿到对应根CA证书即可。
2. 将CA证书导入客户端信任链：
   • JVM系客户端（Java/Scala等）：用keytool命令将证书导入JVM默认信任库，示例命令：keytool -importcert -alias es-http-ca -file /你的证书路径/http_ca.crt -keystore $JAVA_HOME/lib/security/cacerts -storepass changeit，导入后重启客户端进程生效。
   • 通用HTTP客户端（curl/Python/Go等）：请求时直接指定CA证书路径即可，curl示例：curl --cacert /你的证书路径/http_ca.crt https://127.0.0.1:9200 -u elastic:你的ES密码
3. 验证连通性，确认不再抛出证书不信任报错即可。

注意：生产环境严禁配置跳过SSL证书校验，否则会存在中间人攻击风险。

内容的提问来源于stack exchange，提问作者Bhavya