Ошибка SSL-сертификата на сайте: почему браузер не доверяет и что делать

Ошибка SSL-сертификата означает, что браузер не смог подтвердить HTTPS-соединение с сайтом. Частые причины — истёк срок сертификата, имя сайта не совпадает с указанным в нём или сервер не отдаёт полную цепочку. Сначала проверьте сайт с другого устройства и через мобильную сеть: так станет ясно, проблема на вашем компьютере или на сервере.

Ошибка только у вас или у всех: кто должен чинить

Браузер может показать ошибку SSL, хотя сайт открывается у коллеги. В таком случае сервер доступен, но браузер не доверяет HTTPS-соединению. Код вроде NET::ERR_CERT_* указывает на проблему с сертификатом или его проверкой.

Откройте тот же адрес в другом браузере, затем в режиме инкогнито. Проверьте сайт с телефона через мобильную сеть, отключив Wi-Fi.

Если ошибка повторяется на разных устройствах и сетях, проверять нужно сертификат, цепочку или CDN. Если сбой только на одном компьютере, начните с системных часов, антивируса и корпоративного прокси.

На платёжной странице не обходите предупреждение, пока не выяснили причину. Такой обход не устраняет сбой.

Сначала выясните, ошибка только у вас или у всех посетителей.

Код 504 или сообщение «сайт не найден» ведёт к проверке DNS, шлюза или приложения. Перевыпуск сертификата в этом случае проблему не устранит.

Почему ошибка SSL только на одном компьютере или в одном браузере

Когда коллега открывает сайт, а ваш браузер — нет, причина может быть в настройках устройства или сети. Проверьте дату и время, откройте сайт в другом браузере и временно отключите проверку HTTPS в антивирусе.

Антивирус или корпоративный шлюз могут проверять защищённый трафик через собственный сертификат. Если нужный корневой сертификат не установлен на устройстве, браузер может отклонить соединение. Устаревшая система тоже может не распознавать цепочку доверия. Ошибка возможна и при обращении к домену, имя которого отличается от имён в сертификате.

Если проблема возникает только в одном браузере, сначала проверьте системное время и расширения. Не меняйте настройки сервера, пока другие устройства открывают сайт.

Этот маршрут не поможет, если ошибка одновременно появилась у всех посетителей. Тогда проверяйте сервер или CDN.

Почему сервер отдаёт ошибку сертификата

Когда ошибка повторяется на разных устройствах, проверьте срок сертификата, имена сайтов в нём и цепочку доверия. Сертификат должен покрывать адрес, который посетитель ввёл в браузере. Например, www.example.com и example.com — отдельные имена, если оба не включены в сертификат.

Сертификат *.example.com покрывает поддомен первого уровня, но не сам example.com и не shop.cdn.example.com. Для кириллического домена в сертификате может использоваться его ASCII-запись, начинающаяся с xn--.

Серверу нужна полная цепочка сертификатов: сертификат сайта и промежуточные сертификаты. Если настроен только сертификат сайта, некоторые устройства могут не суметь проверить доверие. Самоподписанный сертификат подходит для внутренней среды, где на устройствах установлен соответствующий корень. Для публичного магазина он не подойдёт.

После замены файла проверьте конфигурацию веб-сервера и перезагрузите его. Ошибка также может сохраняться на CDN, который отдаёт старый сертификат. При проксировании HTTPS проверьте, настроено ли шифрование между CDN и исходным сервером.

Что означают коды ошибок Chrome, Firefox, Safari и Яндекс.Браузера

Код помогает понять, что браузер не смог проверить: срок, имя сайта или цепочку. Он сужает поиск, но не всегда указывает, где именно возник сбой. Сравните результат на другом устройстве, прежде чем менять конфигурацию сервера.

ERR_SSL_PROTOCOL_ERROR не всегда связан с сертификатом. Если другие устройства тоже не могут подключиться, проверьте настройки TLS и веб-сервера. Для точной диагностики нужен текст ошибки и результат проверки с другой сети.

Как проверить SSL-сертификат на сайте

Начните с того, что видит посетитель, затем проверьте сервер и CDN. Сертификаты на исходном сервере и на CDN могут различаться, поэтому отдельно проверьте адрес сайта через прокси и напрямую, если такая проверка доступна.

Проверка исходного сервера не покажет, что видят посетители, если CDN отдаёт свой сертификат. В этом случае проверьте подключение через CDN отдельно.

Как найти mixed content и исправить настройки CMS

Даже после исправления сертификата браузер может предупреждать о небезопасных элементах страницы. Проверьте, не загружает ли сайт изображения, скрипты или формы по http://. Также проверьте редиректы между HTTP и HTTPS: настройки CMS, веб-сервера и CDN могут конфликтовать.

Если сайт работает на 1С-Битрикс, настройка HTTPS для сайта на 1С-Битрикс поможет проверить конфигурацию вместе с настройками CMS.

Сначала исправьте смешанные ссылки и проверьте редиректы. Дополнительные настройки безопасности включайте после проверки основного HTTPS: ошибка в конфигурации может сделать сайт недоступным.

Как ошибка SSL влияет на выдачу и заявки

Предупреждение браузера может отпугнуть посетителя до перехода к форме или оплате. Это особенно чувствительно для интернет-магазина. При этом по одной ошибке нельзя заключить, что сайт получил санкцию в поиске или навсегда потерял позиции.

После перехода с HTTP на HTTPS проверьте главное зеркало и состояние обхода сайта в кабинетах поисковых систем. Если сертификат исправен, но страницы не открываются, отдельно разбирайтесь с редиректами, доступностью и настройками сайта.

Для сайта, который принимает оплату или персональные данные, проверьте применимые требования безопасности и защиты данных в первоисточниках. Сертификат решает задачу защищённого соединения, но сам по себе не подтверждает соответствие всем таким требованиям.

Если ошибка видна всем посетителям, сначала восстановите HTTPS и проверьте форму или оформление заказа снаружи. Для магазина это срочнее любых косметических правок страницы.

Как настроить автопродление TLS и избежать ошибок

Публичный сертификат может перестать действовать, если его срок закончился, а продление не настроено. Для регулярного выпуска настройте автоматическое продление и оповещение о сбое. Let's Encrypt поддерживает ACME; способ проверки домена выбирают с учётом доступных настроек сервера.

Перед автоматизацией проверьте, кто отвечает за сертификат: хостинг, CDN или ваша команда. Если выпуск подтверждается через HTTP-01, веб-сервер должен быть доступен для такой проверки. Когда это невозможно, рассмотрите другой поддерживаемый способ подтверждения домена.

Не удаляйте сертификат и закрытый ключ без резервной копии. После замены проверяйте не только исходный сервер, но и CDN. При смене имён или поставщика сертификата заранее проверьте ограничения и условия выбранного центра сертификации.

Для большинства публичных сайтов подходит сертификат, который покрывает нужные домены и автоматически продлевается. Если домен используется только во внутренней сети, публичный сертификат может быть не нужен: настройка зависит от того, какие устройства должны ему доверять.

Если запускаете сайт с нуля, сначала определите, какой сайт нужен бизнесу в Новороссийске, и предусмотрите настройку HTTPS при запуске.

Когда нет доступа к панели или серверу, передайте администратору домен, код ошибки и результаты проверки с другой сети. Если сбой повторяется у всех, оставьте заявку на диагностику сайта.

Источники

• Ошибки на сайте — Яндекс
• Документация Let's Encrypt — Let's Encrypt