DocuSign是否需要更新客户端根证书校验以兼容新版Let's Encrypt证书？

结论 #

你的判断是正确的，该问题确实是DocuSign Connect的回调客户端侧证书适配问题导致。

问题根因 #

• 你侧已经正确部署了由ISRG Root X1签发的有效Let's Encrypt证书，不存在证书配置错误
• DocuSign Connect回调时使用的客户端环境，要么内置根证书信任列表未收录ISRG Root X1，要么证书校验逻辑仍优先尝试用2021年9月30日已过期的DST Root CA X3做根证书校验，才会触发TLS握手阶段的证书不信任报错，错误原文如下：

Error - The underlying connection was closed: Could not establish trust relationship for the SSL/TLS secure channel.; The remote certificate is invalid according to the validation procedure.

逻辑验证 #

此前Postman旧版本出现的同类报错，本质就是客户端内置根证书库未及时更新适配Let's Encrypt的根证书切换，更新版本同步根证书信任列表、优化校验逻辑后问题即可解决，和你遇到的场景完全一致。DocuSign侧更新其回调服务依赖的TLS客户端库、同步内置根证书信任列表即可修复该问题。

临时规避方案 #

如果你需要尽快恢复DocuSign回调功能，可临时将webhook域名的SSL证书更换为其他公共CA签发的证书，待DocuSign侧完成适配后再切回Let's Encrypt证书即可。

内容的提问来源于stack exchange，提问作者nevster