SSLCERTS

   1                       Peer SSL Certificate Verification
   2                       =================================
   3
   4 Starting in 7.10, libcurl performs peer SSL certificate verification by
   5 default. This is done by installing a default CA cert bundle on 'make install'
   6 (or similar), that CA bundle package is used by default on operations against
   7 SSL servers.
   8
   9 Alas, if you communicate with HTTPS servers using certificates that are signed
  10 by CAs present in the bundle, you will not notice any changed behavior and you
  11 will seamlessly get a higher security level on your SSL connections since you
  12 can be sure that the remote server really is the one it claims to be.
  13
  14 If the remote server uses a self-signed certificate, or if you don't install
  15 curl's CA cert bundle or if it uses a certificate signed by a CA that isn't
  16 included in the bundle, then you need to do one of the following:
  17
  18  1. Tell libcurl to *not* verify the peer. With libcurl you disable with with
  19     curl_easy_setopt(curl, CURLOPT_SSL_VERIFYPEER, FALSE);
  20
  21     With the curl command tool, you disable this with -k/--insecure.
  22
  23  2. Get a CA certificate that can verify the remote server and use the proper
  24     option to point out this CA cert for verification when connecting. For
  25     libcurl hackers: curl_easy_setopt(curl, CURLOPT_CAPATH, capath);
  26
  27     With the curl command tool: --cacert [file]
  28
  29 Neglecting to use one of the above menthods when dealing with a server using a
  30 certficate that isn't signed by one of the certficates in the installed CA
  31 cert bundle, will cause SSL to report an error ("certificate verify failed")
  32 during the handshake and SSL will then refuse further communication with that
  33 server.
  34
  35 This procedure has been deemed The Right Thing even though it adds this extra
  36 trouble for some users, since it adds security to a majority of the SSL
  37 connections that previously weren't really secure. It turned out many people
  38 were using previous versions of curl/libcurl without realizing the need for
  39 the CA cert options to get truly secure SSL connections.