Что проверить пользователю при ошибке сертификата?

Видите ошибку в браузере о неправильном подключении? Не паникуйте — это не взлом компьютера. Обновите страницу в браузере. Перезагрузите браузер полностью. Очистите кэш браузера на устройстве. Если предупреждение о защищённом соединении продолжает возникать, это проблема владельца сайта. Дождитесь исправления сертификата.

Что проверить владельцу сайта при ошибке сертификата?

Откройте панель управления хостинга. Проверьте срок действия сертификата сайта. Если срок истекает, свяжитесь с техподдержкой хостера немедленно. Попросите обновить сертификат через бесплатный Let's Encrypt или платный. Цена платного: от сотен до пары тысяч рублей в год.

Как разработчику диагностировать ошибку сертификата?

Используйте openssl: openssl s_client -connect domain.com:443 для проверки конфигурации. Анализируйте информацию: даты действия сертификата, цепочку доверия, версию браузера и операционной системы. Настройте конфигурацию Nginx или Apache. Установите certbot для автоматического обновления через let's encrypt. Добавьте мониторинг сроков в систему управления. Проблема исправлена.

Ошибка ssl сертификата сайта

Почему браузер блокирует подключение

Браузер работает как охранник входа. Когда вы пытаетесь открыть страницу, браузер требует паспорт сайта — это SSL-сертификат. Документ проверяется на несколько параметров. Если хотя бы один параметр не совпадает — путь блокируется.

Слушайте внимательно: это не вирус, не взлом и не украли ваши данные. Это техническая проблема владельца сайта. Браузер как раз работает правильно, когда блокирует. Соединение не защищено — значит, браузер уловил проблему с сертификатом ещё до того, как вы отправили какую-то информацию.

Как браузер проверяет безопасность

Проверка происходит в несколько слоёв. Браузер глядит на срок действия сертификата — действителен ли он в этот момент. Глядит на центр сертификации, который его выдал, — известный ли это центр, есть ли он в списке надежных. Проверяет цепочку доверия — корневой сертификат, промежуточные сертификаты, основной — есть ли полная цепь. И проверяет, совпадает ли доменное имя в сертификате с адресом сайта в адресной строке.

Любое несоответствие — и возникает ошибка SSL-сертификата. Браузер не доверяет подключению. Это происходит автоматически, на уровне защиты операционной системы. Никакие данные пользователя до этого момента не передаются на сервер.

Истёк срок действия сертификата

Первая и самая частая причина. Каждый сертификат, выданный центром сертификации, имеет дату истечения. Владельцу сайта нужно обновить сертификат перед этой датой. Просто продлить его.

На обычном хостинге, на VPS, на VDS — везде одинаково. В панели управления видно, когда истекает срок действия сертификата. Обновлять нужно регулярно, иначе эта ошибка возникает автоматически. На выделенных серверах администратор часто забывает, потому что никакое напоминание не приходит. Обновление занимает несколько минут, но если забыли — браузер показывает красное предупреждение каждому посетителю сайта.

Нарушена цепочка доверия

Вторая причина. Сертификаты работают как иерархия документов. На вершине корневой сертификат — он установлен на каждом устройстве пользователя. От корневого идут ссылки на промежуточные сертификаты. От промежуточных — на сертификат конкретного сайта.

Браузер проверяет каждое звено этой цепи доверия. Если хотя бы один файл сертификата неправильно установлен на сервере, если промежуточный сертификат забыли загрузить в конфигурацию — цепь разрывается. Браузер не может убедиться в подлинности и показывает, что подключение не защищено.

На VPS и VDS это требует ручной конфигурации. На простом хостинге служба поддержки обычно справляется, но иногда ошибки случаются. Если управляете сервером сами, нужно отследить, что все файлы сертификата указаны правильно и находятся на месте. Один пропущенный файл — и цепочка доверия разрушена.

Самоподписанный сертификат

Третья причина. Можно создать сертификат самостоятельно, без центра сертификации. Это самоподписанный сертификат. Браузер видит такой документ и не может проверить его подлинность через известный центр доверия. Возникает сообщение об опасности.

Такой сертификат подходит для внутренних серверов, для тестирования, для локальной сети. Для публичного веб-сайта, блога, интернет-магазина — неприемлемо. Каждый посетитель получит предупреждение. Клиенты не будут доверять и уйдут на конкурентов.

Некорректная конфигурация на сервере

Четвёртая причина. Сертификат, выданный для одного домена, установлен на другой. Например, выдан для example.com, а установлен на www.example.com или shop.example.com. Браузер видит, что имя в сертификате не совпадает с адресом сайта, и возникает ошибка.

Доменное имя в сертификате должно совпадать с адресом в адресной строке. Поддомены требуют особого внимания — нужен специальный сертификат с поддержкой всех поддоменов или отдельные сертификаты для каждого. На панели управления хостинга при установке выбирается, для какого домена ставить сертификат. Если выбрали неправильно, данные в конфигурации не совпадают с данными, которые браузер видит.

Исправляется переустановкой для правильного домена. Удаляете старый файл сертификата, устанавливаете новый с правильным именем. На любом типе хостинга процесс одинаков — несколько действий в панели управления.