Установка сертификата

Чтобы показать содержимое HTTPS-трафика, приложению нужно расшифровать его на вашем компьютере. Для этого используется собственный корневой сертификат. Каждая установка создаёт свой сертификат, он не передаётся между машинами.

Без него HTTPS-запросы всё равно попадают в перехваченный трафик, но остаются зашифрованными.

Процесс установки

Что должно получиться в итоге

Сертификат должен оказаться в системном хранилище доверенных корневых сертификатов и быть помечен доверенным для SSL. Мастер в меню SSL Сертификат делает и то, и другое и проверяет результат; ему нужны права администратора, поэтому система запросит пароль или покажет диалог безопасности.

На Linux права получаются через pkexec или графический sudo (zenity, kdialog, yad). Если ни одного из них нет, установка не состоится.

Куда попадает сертификат:

Платформа Расположение
macOS связка login, доверие для SSL
Windows Доверенные корневые центры сертификации
Debian/Ubuntu /usr/local/share/ca-certificates/solpuga-proxy-ca.crt
Arch /etc/ca-certificates/trust-source/anchors/solpuga-proxy-ca.crt
RHEL/Fedora /etc/pki/ca-trust/source/anchors/solpuga-proxy-ca.crt
openSUSE /etc/pki/trust/anchors/solpuga-proxy-ca.crt

Firefox использует собственное хранилище сертификатов и не читает системное. Сертификат нужно импортировать в него отдельно, через настройки приватности и защиты.

Если автоматическая установка не сработала

Мастер может выдать файл сертификата и точные команды или последовательность диалогов для вашей платформы, а затем перепроверить результат. По сути вручную нужно сделать вот что:

  • macOS — добавить сертификат в связку ключей и выдать ему доверие trustRoot для SSL.
  • Windows — поместить его в Доверенные корневые центры сертификации локального компьютера.
  • Linux — скопировать его в каталог CA-якорей дистрибутива и обновить хранилище доверия (update-ca-certificates или update-ca-trust extract).

Установленный, но ещё не доверенный сертификат не проходит проверку — повторять нужно именно шаг с доверием, а не установку.

Браузер всё равно отказывается принимать сертификат? См. ERR_CERT_AUTHORITY_INVALID через прокси — как починить.

Экспорт сертификата

Установленный сертификат можно экспортировать в формате PEM из Настройки → Прокси.

Эта копия нужна там, куда приложение не установит его само — в контейнер, на CI-раннер или на устройство, настраиваемое вручную.

Удаление сертификата

Сертификат удаляется из Настройки → Прокси или из мастера установки. Удаление не затрагивает само приложение и не стирает перехваченный трафик.

На macOS сертификат, вручную перенесённый в связку Система, нужно удалять через Keychain Access. На Linux, если удалить его напрямую не получается, приложение открывает терминал с нужными командами.

Сервисы, которые не принимают сертификат

Некоторые приложения и сервисы используют certificate pinning и не примут никакой прокси-сертификат. Обычно при включённом перехвате они просто перестают подключаться.

Добавьте такой хост в список исключений (см. Настройки) — он будет туннелироваться без расшифровки: продолжит работать, а его трафик останется в записи, но без читаемого содержимого.

Мобильные устройства

Симуляторам, эмуляторам и реальным телефонам сертификат нужно установить и сделать доверенным ещё и на самом устройстве — см. Мобильные устройства.