Peer certificate cannot be authenticated with known CA certificates: что значит эта строка и почему обновление ca-certificates не помогает

Слово «known» в этой строке выдаёт curl 7.21.6 и старше: в 7.21.7 (23 июня 2011) текст сменился на «given», а с 7.62.0 код 60 отдаёт уже другое сообщение. И причина отказа обычно не в том, что в бандле нет нового корня, а в том, что нужный корень изъяли: из 138 корней среза Mozilla от 17 января 2018 в срезе от 25 сентября 2026 остались 53.