CERTIFICATE_VERIFY_FAILED в Python: как добавить российский сертификат и не писать verify=False

проверка TLS-сертификата можно освоить на одном небольшом проекте, если сразу видеть вход, действие и результат. Ошибка CERTIFICATE_VERIFY_FAILED означает, что Python не смог построить доверенную цепочку до корневого центра, а не то, что HTTPS нужно отключить. Ниже вы соберёте работающий пример и проверите обычный и граничный сценарии.

Популярный совет verify=False скрывает ошибку и разрешает подмену сервера, поэтому учебный код начинает работать ценой потери защиты. Поэтому отделим настройку, входные данные, основное действие и проверку. В этой статье вы соберёте диагностический скрипт, который принимает путь к CA bundle, делает HTTPS-запрос и показывает отдельные ошибки файла, DNS, тайм-аута и сертификата. Проверка: запрос проходит с доверенным bundle, verify остаётся включён, а неверный путь завершается понятным сообщением до сети.

Как устроен учебный проект проверка TLS-сертификата

Приложение проверяет существование PEM-файла, создаёт SSLContext или передаёт ca_bundle_file SDK, затем выполняет запрос с обычной проверкой hostname. Держите ввод, логику и отображение раздельно: тогда каждый этап можно проверить отдельно.

Контрольные точки: диагноз, сертификат, настройка и проверка. Следующий шаг начинается после совпадения с ожидаемым результатом.

От входных данных до видимого результата. Сначала проверяется вход, затем действие и только потом интерфейс.

Собираем рабочий пример шаг за шагом

Материал сверялся с официальной документацией 2 ноября 2026 года. Сохраните официальный корневой сертификат в папке certs вне кода приложения и передайте путь через переменную окружения REQUESTS_CA_BUNDLE. Проверьте текущую папку через pwd или Get-Location. Вставьте пример целиком, выполните один раз, затем разбирайте по частям.

import os
from pathlib import Path
import requests

URL = "https://gigachat.devices.sberbank.ru/api/v1/models"

def checked_get(url: str) -> int:
    bundle = Path(os.environ["REQUESTS_CA_BUNDLE"]).expanduser().resolve()
    if not bundle.is_file():
        raise FileNotFoundError(f"CA bundle не найден: {bundle}")
    response = requests.get(url, verify=str(bundle), timeout=15)
    return response.status_code

if __name__ == "__main__":
    try:
        print("HTTP status:", checked_get(URL))
    except requests.exceptions.SSLError as error:
        raise SystemExit(f"TLS не подтверждён: {error}") from error

Главная функция принимает явный вход и возвращает результат, который можно проверить отдельно от интерфейса. Найдите в примере вход, проверку и место формирования результата.

Что отличает устойчивый проект от случайного запуска. Явные границы делают ошибку локальной и понятной.

Что происходит внутри и почему это работает

Клиент проверяет подписи цепочки, срок действия и совпадение hostname. Дополнительный корневой сертификат расширяет доверенное хранилище для конкретного центра, но не отменяет остальные проверки. Логику держите отдельно от вывода: функция получает аргумент и возвращает значение, а интерфейс показывает его. В GigaChat Python SDK используйте параметр ca_bundle_file или переменную GIGACHAT_CA_BUNDLE_FILE. verify_ssl_certs=False оставляйте только для осознанной локальной диагностики без секретов, не для production.

Корневой сертификат не является клиентским секретом, но подменённый bundle может расширить доверие к злоумышленнику. Храните источник, отпечаток и процедуру обновления рядом с инфраструктурой. Не прячьте поток в одном обработчике: сохраните вход, проверьте его, вызовите операцию и только затем обновите интерфейс.

Проверяем проект и добавляем свою функцию

Сделайте функцию диагностики, которая печатает категорию ошибки, но не токен и не тело ответа. Добавьте тест для отсутствующего файла. До правки запишите ожидаемое поведение одним предложением. После граничного теста повторите обычный сценарий.

После изменения повторите основной и ошибочный сценарии, чтобы новое поведение не сломало исходный результат. Полезная правка проходит от нового ввода до видимого результата.

Четыре проверки перед следующим шагом. Каждый следующий этап начинается после наблюдаемого результата.

Что запомнить и куда двигаться дальше

После исправления удалите временные обходы, зафиксируйте путь через окружение и проверьте контейнер или CI, где системное хранилище может отличаться. Для закрепления откройте в подключении GigaChat API, в разборе CORS и в CI для Python.

Как изучить тему в Кодике

Сначала разберите формат входных данных и одну функцию, затем подключайте внешний сервис или интерфейс. Сначала восстановите главную функцию и проверьте её на трёх значениях.

Закрепите проект, восстановив ключевую функцию по памяти и добавив собственный граничный случай. Базовый синтаксис закрепите через курс Python.

Что получится в итоге

Финальный экран показывает результат, состояние операции и понятное сообщение об ошибке без раскрытия секретов.