Ошибки SSL-сертификата: что они означают и как их исправить

Последняя проверка: 20 окт. 2026 г.

Когда браузер пишет «Подключение не защищено», сертификат на сервере не прошёл одну из немногих проверок. Код ошибки подскажет, какую именно. Если знать, куда смотреть, большинство ошибок исправляется за минуты.

Коротко

У большинства ошибок одна из четырёх причин: сертификат истёк, не покрывает открытое имя, не хватает промежуточного сертификата или браузер не доверяет издателю.
Бесплатные сертификаты вроде Let's Encrypt живут недолго, поэтому автоматическое продление обязательно.
С 15 марта 2026 года публично доверенные сертификаты действуют не более 200 дней; в 2027 году срок сократится до 100, а в 2029-м — до 47 дней.
Проверьте сертификат с помощью проверки SSL, а Мониторинг предупредит вас до истечения срока.

Коды ошибок

Ошибка (Chrome)	Значение	Решение
`NET::ERR_CERT_DATE_INVALID`	Срок сертификата истёк или ещё не начался	Продлите сертификат и перезагрузите веб-сервер; если он выглядит действительным, проверьте часы на устройстве.
`NET::ERR_CERT_COMMON_NAME_INVALID`	Сертификат не покрывает открытое имя	Выпустите сертификат со всеми используемыми именами: example.ru, www.example.ru и поддоменами (или wildcard).
`NET::ERR_CERT_AUTHORITY_INVALID`	Издателю не доверяют: самоподписанный, внутренний УЦ или нет промежуточного сертификата	Используйте публично доверенный УЦ и установите полную цепочку.
`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`	Сервер предлагает только устаревшие протоколы или шифры	Включите TLS 1.2 и TLS 1.3.
`NET::ERR_CERT_REVOKED`	Удостоверяющий центр отозвал сертификат	Получите новый сертификат, а если ключ скомпрометирован — и новый ключ.
`ERR_TOO_MANY_REDIRECTS`	Цикл перенаправлений между HTTP и HTTPS, часто при CDN в режиме «flexible»	Включите в CDN режим full/strict и оставьте на сервере одно перенаправление.

Истёкший сертификат

В Firefox та же проблема отображается как SEC_ERROR_EXPIRED_CERTIFICATE. Сертификаты Let's Encrypt действуют 90 дней и продлеваются автоматически ACME-клиентом вроде certbot или панелью хостинга. Продление часто ломается незаметно: закрыли порт 80, DNS перенесли на другой сервер или веб-сервер не перезагрузили после получения нового сертификата.

Правила CA/Browser Forum сокращают срок действия сертификатов: не более 398 дней до 15 марта 2026 года, затем 200 дней, с 15 марта 2027 года — 100 дней, с 15 марта 2029 года — 47 дней. Продлевать вручную уже непрактично — автоматизируйте это через ACME.

Нет промежуточного сертификата

Сервер должен отдавать свой сертификат вместе с промежуточным (или промежуточными). Настольные браузеры часто восполняют пробел из кеша, поэтому сайт «у меня работает», но не открывается на смартфонах, в приложениях, через curl или в API-клиентах. Установите полную цепочку: fullchain.pem у Let's Encrypt, поле «CA bundle» в панелях хостинга. Проверка SSL покажет, полная ли цепочка.

Несовпадение имени

Имена, которые покрывает сертификат, перечислены в поле SAN (Subject Alternative Name); Firefox сообщает об этой ошибке как SSL_ERROR_BAD_CERT_DOMAIN. Wildcard-сертификат вроде *.example.ru покрывает ровно один уровень (shop.example.ru), но не сам example.ru и не a.b.example.ru. Если сайт открывается и с www, в сертификате должны быть оба имени.

Другие причины

Смешанный контент: HTTPS-страница загружает скрипты, изображения или стили по http://; замок пропадает или контент блокируется. Замените эти адреса на https://.
HSTS: если сайт хотя бы раз отправил HSTS, браузеры не позволяют пропустить ошибку сертификата, пока не истечёт max-age. Решение — исправить сертификат, а не отключать HTTPS.
CAA: если у домена есть записи CAA, выпускать сертификаты могут только перечисленные в них УЦ; если вашего там нет, продление не пройдёт.
Неверное время на устройстве делает сертификаты «истёкшими» или «ещё не действительными».
Антивирусы и корпоративные прокси, проверяющие HTTPS, подставляют свой сертификат; тогда ошибка возникает только в этой сети или на этом устройстве.

Проверка и уведомления

Проверка SSL показывает сроки действия, покрытые имена, цепочку, версии TLS, HSTS, перенаправление с HTTP на HTTPS и записи CAA.
Добавьте домен в Мониторинг: вы получите письмо или сообщение в Telegram до истечения срока сертификата и когда он станет недействительным.

Источники

Это руководство обобщает открытую информацию и не является юридической консультацией.