Healthchecks项目中使用Protonmail Bridge发送邮件通知的SSL证书问题解决方案

背景介绍

在使用Healthchecks监控系统时，许多用户会选择通过邮件接收监控通知。对于注重隐私的用户来说，Protonmail是一个受欢迎的选择，而Protonmail Bridge则是官方提供的本地邮件转发服务。然而，在TrueNAS Scale环境中通过Docker或k3s部署Healthchecks时，与Protonmail Bridge集成会遇到SSL证书验证问题。

问题分析

Protonmail Bridge默认使用自签名证书进行加密通信，这是出于安全考虑的设计选择。当Healthchecks尝试通过SMTP协议连接Bridge服务时，Python的SSL模块会严格验证服务器证书，导致连接失败并抛出ssl.SSLCertVerificationError异常。

错误日志中明确显示：

ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: self-signed certificate (_ssl.c:1006)

解决方案探索

方案一：调整Protonmail Bridge配置（不推荐）

理论上，最简单的解决方案是配置Protonmail Bridge不使用TLS/SSL加密。然而，Protonmail Bridge的安全设置是固定的，用户无法修改"Security"字段为"None"。这种方案在实际中不可行，也不推荐，因为会降低通信安全性。

方案二：自定义Django邮件后端（推荐）

更可行的方案是自定义Django的SMTP邮件后端，修改其SSL验证行为。Django的邮件系统设计为可插拔架构，允许开发者替换默认实现。

核心思路是继承默认的backends.smtp.EmailBackend类，重写其ssl_context属性方法，将证书验证模式设置为CERT_NONE。示例代码如下：

@cached_property
def ssl_context(self):
    ssl_context = ssl.create_default_context()
    ssl_context.verify_mode = ssl.CERT_NONE
    return ssl_context

实施步骤

1. 创建自定义邮件后端： 在项目中新建一个Python模块(如custom_email_backend.py)，实现上述自定义后端类。

2. 配置Healthchecks使用自定义后端： 修改Django设置中的EMAIL_BACKEND参数，指向新创建的后端类。

3. 构建自定义Docker镜像： 由于需要修改核心代码，建议fork Healthchecks官方仓库，添加自定义后端后构建专属Docker镜像。

安全考虑

虽然禁用证书验证可以解决问题，但这会降低连接的安全性。建议仅在受信任的内部网络环境中使用此方案。长期来看，更安全的做法是：

1. 将Protonmail Bridge的自签名证书导入到Healthchecks容器的信任库中
2. 等待Django社区增加对SSL验证模式的可配置支持
3. 考虑向Protonmail反馈，请求提供官方CA签名的证书选项

总结

在TrueNAS Scale上部署Healthchecks并集成Protonmail Bridge时，遇到的自签名证书问题可以通过自定义Django邮件后端解决。虽然这不是最理想的解决方案，但在受控环境中是可行的临时措施。开发者应权衡安全性与功能需求，选择最适合自己环境的配置方式。