Проверка SSL
Почему браузер пишет «не защищено»?
Введите домен: вы увидите, для кого и до какой даты действует сертификат, покрывает ли он www и основной домен и установлен ли промежуточный сертификат. Если что-то не так, подскажем причину и решение.
Ошибки SSL и их решение
Почти любое предупреждение SSL сводится к одной из пяти причин: срок, имя, промежуточный сертификат, смешанное содержимое или перенаправление. Выберите свою ситуацию.
«Ваше подключение не защищено»
Посмотрите на код под предупреждением: DATE_INVALID — срок истёк, COMMON_NAME_INVALID — сертификат не покрывает это имя, AUTHORITY_INVALID — самоподписанный сертификат или нет промежуточного. Проверка выше покажет, что именно; в таблице ниже — решение для каждого кода.
Срок сертификата истёк
Платный сертификат нужно продлить и установить новые файлы на сервер — одной оплаты мало. У бесплатных 90-дневных сертификатов вроде Let's Encrypt остановилось автопродление: перезапустите его в разделе SSL панели хостинга. Проверка показывает дату окончания и оставшиеся дни.
SSL-сертификатыОшибка на www, а на основном домене нет (или наоборот)
Либо сертификат не покрывает оба имени, либо www указывает на другой сервер. Проверка тестирует оба адреса отдельно. Установите сертификат на www и основной домен и настройте 301-перенаправление на один адрес.
На компьютере открывается, на телефоне ошибка
Почти всегда это отсутствующий промежуточный сертификат: Chrome на компьютере сам скачивает недостающее звено, Android и Firefox — нет. Добавьте на сервер CA bundle, пришедший с сертификатом (в Apache — SSLCertificateChainFile, в Nginx — в конец файла сертификата). Проверка покажет это как отсутствие промежуточного сертификата.
Нет замка или написано «не защищено»
Даже при действующем сертификате браузер не покажет замок, если страница загружает изображения, скрипты или формы по http:// (смешанное содержимое). Замените в коде страницы http:// на https://; в WordPress обновите адрес сайта и ссылки в записях.
Сайт всё ещё открывается по http://
Сертификат установлен, но http:// не перенаправляет на https://. Включите «Принудительный HTTPS» в панели хостинга или добавьте 301-перенаправление на сервере, затем обновите карту сайта, чтобы поисковики видели адрес https://.
Что такое SSL-сертификат и что показывает проверка?
SSL-сертификат шифрует соединение между браузером посетителя и сайтом и подтверждает, что сайт действительно принадлежит этому домену. Браузер проверяет три вещи: покрывает ли сертификат имя, не истёк ли срок и ведёт ли цепочка к доверенному центру. Если не выполнено хоть одно условие, посетитель видит предупреждение.
Инструмент выполняет те же три проверки с нашего сервера и заранее сообщает, какую ошибку покажет браузер. Кроме того, он отдельно проверяет www и основной домен и ищет отсутствующий промежуточный сертификат. Сам сертификат он не меняет.
- ПосетительПодключается по https://
- Сертификат сервераПроверяются имя и срок
- Удостоверяющий центрСвязан с корнем через промежуточный
Как читать SSL-сертификат
CNОбщее имя: Основное имя сертификата. Браузеры сегодня смотрят на список SAN; CN остаётся для совместимости.SANАльтернативные имена: Все имена, для которых действует сертификат. Если введённого имени нет в списке, возникает ошибка несовпадения; www и основной домен должны быть указаны оба.IssuerИздатель: Промежуточный центр, подписавший сертификат (например, Let's Encrypt R11 или Sectigo). Браузер доверяет сертификату, потому что доверяет издателю.Not AfterДата окончания: После этой даты любой браузер показывает предупреждение. Бесплатные сертификаты действуют 90 дней, платные — не более 200.ChainЦепочка: Звенья от сертификата сервера через промежуточный к корневому. Если промежуточного нет на сервере, некоторые устройства не смогут достроить цепочку.
Проблемы возникают и без изменений сертификата: при переезде сервера промежуточный сертификат или настройка сайта для www могут остаться на старом месте. После переезда проверьте оба адреса.
Что означает ошибка в браузере?
Найдите код на странице предупреждения — рядом причина и решение.
| Код ошибки | Значение | Решение |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | Сертификат истёк или неверно время на устройстве | Продлите сертификат; если ошибка только на одном устройстве — исправьте на нём время |
| NET::ERR_CERT_COMMON_NAME_INVALID | Сертификат не покрывает это имя (обычно www или основной домен) | Установите сертификат на оба имени |
| NET::ERR_CERT_AUTHORITY_INVALID | Самоподписанный, неизвестный центр или нет промежуточного | Установите сертификат доверенного центра; добавьте промежуточный |
| SEC_ERROR_UNKNOWN_ISSUER | В Firefox: на сервере нет промежуточного сертификата | Добавьте на сервер файл CA bundle |
| ERR_SSL_PROTOCOL_ERROR | Сервер неправильно отдаёт HTTPS: порт 443 закрыт или сертификат не привязан | Включите SSL в панели хостинга и привяжите сертификат к сайту |
| Смешанное содержимое (Mixed Content) | Страница загружает часть файлов по http://, поэтому замка нет | Замените на странице http:// на https:// |
Не видите код? Нажмите «Дополнительные» или «Подробнее» на странице предупреждения.
Частые вопросы
О SSL-сертификатах, сроках и предупреждениях браузера.
-
Введите домен в поле выше: в результате будут дата окончания и число оставшихся дней. Также можно нажать на замок в адресной строке и открыть сведения о сертификате. Бесплатные сертификаты действуют 90 дней — убедитесь, что автопродление работает.
-
Браузер нашёл проблему с сертификатом: истёк срок, не покрыто имя, неизвестный центр или нет промежуточного сертификата. Код под предупреждением укажет причину, а проверка и таблица кодов на этой странице — решение.
-
Нет, но сертификат должен покрывать оба имени. Большинство сертификатов на один домен включают и www, и основной домен — проверьте, что оба есть в запросе (CSR). Проверка тестирует каждый адрес отдельно.
-
Шифрование одинаковое. Платные сертификаты действуют дольше, дают проверку организации (OV/EV), гарантию и поддержку; бесплатные нужно продлевать каждые 90 дней, и если продление остановится, сайт начнёт показывать предупреждения.
-
Новый сертификат не установлен на сервер или веб-сервер не перезапущен. Если у вас несколько серверов или CDN, проверьте, что он установлен везде. Проверка показывает сертификат, который сервер отдаёт прямо сейчас.
-
Нет. Наш сервер подключается к сайту как посетитель и только читает сертификат, не трогая содержимое. Можно проверять и чужие сайты.
Продлевайте SSL-сертификат вовремя
Сертификаты Comodo, Sectigo, DigiCert и GeoTrust от $9,99 в год, помощь с установкой включена.