Ошибка SSL-сертификата: как проверить сертификат сайта

Ошибка SSL-сертификата значит одно из четырёх: сертификат истёк, выдан на другой домен, подписан центром, которому браузер не доверяет, — или подписан российским НУЦ Минцифры, и тогда с сайтом всё в порядке, а предупреждение рисует браузер посетителя. Какой это случай, браузер пишет сам: под кнопкой «Дополнительно» стоит код вида NET::ERR_CERT_DATE_INVALID, и он называет причину точнее любой статьи. Ниже порядок из пяти шагов: четыре делаются из браузера и двух бесплатных сервисов, пятый — в Яндекс Вебмастере. Доступ к серверу нужен только на последнем этапе, когда уже понятно, что чинить.

01Что стоит в выдаче по запросу «проверить ssl сертификат» и чего там нет

Позиции я не снял: Яндекс на автоматический запрос отдаёт SmartCaptcha — и по запросу «проверить ssl сертификат», и по «ошибка ssl сертификата» ответ приходит редиректом на /showcaptcha вместо выдачи. Поэтому вместо порядка топа я собрал пул из 10 страниц, которые по этим двум запросам встречаются чаще всего, и разобрал каждую: заголовки вытащены из HTML, а не пересказаны. Порядок в моём списке — не порядок выдачи, и я это оговариваю специально.

В пуле два хостера (HandyHost, xVPS), два облачных провайдера (Selectel, Serverspace), регистратор 2domains, реселлер сертификатов Emaro-SSL, платформа интернет-магазинов AdvantShop, два SEO-сервиса (pr-cy, Rookee) и блог провайдера cloudic. Вот что в них нашлось.

Главный вопрос владельца сайта — «это у меня сломалось или у клиента?» — не ставит ни одна из десяти страниц. Все они перечисляют причины вперемешку: истёкший сертификат стоит рядом со сбившимися часами, битая цепочка — рядом с антивирусом, и развилки, по которой одно отличается от другого, нет. Коды браузера есть у трёх страниц, по одному-два, расшифровки «что значит каждый код» — ни у кого; у Emaro-SSL вместо кодов приведены предупреждения Internet Explorer 6 и Firefox 3. Таблица есть у одной страницы из десяти — у Rookee, и там же единственное упоминание того, что сроки сертификатов режут. Российские сертификаты НУЦ Минцифры — самая частая локальная причина «не защищено» в стране — упомянуты одним абзацем у Selectel, и нигде не сказано главного: в этом случае сайт исправен. Если вы ещё не разобрались, зачем сайту сертификат и что происходит без него, начать стоит оттуда, а дальше возвращаться сюда с конкретным кодом ошибки на экране.

02Шаг 1. Прочитать код ошибки — он называет причину

На странице предупреждения Chrome показывает заголовок «Подключение не защищено» или «Часы отстают», а под кнопкой «Дополнительно» — код. Код не декоративный: это константа из исходников браузера, у которой есть документированное значение. В файле net/base/net_error_list.h Chromium у каждой расписаны все возможные причины, и для владельца сайта важно, что их по три на код.

Последняя строка — та, из-за которой люди неделями ищут проблему не там. В Chromium этот код лежит не среди ошибок сертификата, а в блоке сетевых: NET_ERROR(SSL_PROTOCOL_ERROR, -107) с комментарием «An SSL protocol error occurred», тогда как все ошибки сертификата нумеруются от -200. Сертификат при ERR_SSL_PROTOCOL_ERROR может быть в полном порядке.

Полезная частность для второго кода: если сертификат выдан на example.com, а сайт открывают по www.example.com, это тот же COMMON_NAME_INVALID. Chrome в этом случае дословно пишет: «Не удалось подтвердить, что это сервер ‹домен›. Его сертификат безопасности относится к ‹другому домену›». Отдельный подвид — сертификат без Subject Alternative Names, и браузер про это тоже говорит прямо.

03Шаг 2. Отличить свою поломку от чужой: часы, антивирус и российские сертификаты

Если сайт у вас открывается, а у клиента нет, причина с большой вероятностью не на сервере. Справка Chrome разводит эти случаи сама. Про часы: «Вы увидите эту ошибку, если дата и время на вашем компьютере или мобильном устройстве неточные. Чтобы исправить ошибку, откройте часы устройства». Про антивирус — отдельным пунктом: ошибка появляется, если антивирус предоставляет «защиту HTTPS» или «сканирование HTTPS», и антивирус мешает Chrome обеспечивать безопасность.

Третья причина — локальная и самая частая. Часть российских сайтов работает на сертификатах Национального удостоверяющего центра Минцифры, и браузеры, в которых их корневые сертификаты не установлены, покажут предупреждение на исправном сайте. Страница Правительства Москвы формулирует это без обиняков: «Без сертификатов ваши личные данные недостаточно защищены, поэтому при попытке зайти на сайт появится предупреждение о небезопасности ресурса». Там же сказано, чем это лечится со стороны посетителя: «Используйте „Яндекс Браузер“. В него уже встроена поддержка российских сертификатов безопасности». Яндекс со своей стороны описывает ту же картину: при переходе на сайты многих российских компаний в Chrome или Safari видно предупреждение о небезопасном соединении, потому что страницы используют сертификаты НУЦ Минцифры.

Отсюда проверка на одну минуту, которой нет ни на одной странице пула: откройте свой сайт с мобильного интернета в Яндекс Браузере. Открылся без предупреждения, а в Chrome на том же устройстве предупреждение есть — сервер исправен, и чинить нечего. Важная оговорка из той же московской страницы: установка корневых сертификатов не всегда помогает, «в браузерах Opera, Firefox, „Mi браузер“ и некоторых других после установки сертификатов сайты все равно могут открываться с ошибкой», а после установки нужно очистить кеш браузера.

04Шаг 3. Проверить сертификат онлайн и прочесть не оценку, а буквы

Бесплатный тест Qualys SSL Labs на ssllabs.com/ssltest описывает себя как «deep analysis of the configuration of any SSL web server on the public Internet» — глубокий разбор настроек сервера. Владельцы обычно смотрят на итоговую букву от A до F, но для нашей задачи важнее другое. В официальном руководстве по оценкам сказано, что в части случаев обычные буквы не выставляются вовсе: «That's the case with the M grade (certificate name mismatch) and the T grade (site certificate is not trusted)». То есть M в отчёте — это ровно ваш ERR_CERT_COMMON_NAME_INVALID, а T — ERR_CERT_AUTHORITY_INVALID. Дальше там же объяснено, почему оценки не ставят: «When there is no certificate trust, the actual security grade doesn't matter».

Практический смысл: получили T или M — буквы A добиваться бессмысленно, пока не починено доверие или имя. И наоборот, оценка B или C при валидном сертификате к ошибке в браузере обычно отношения не имеет: это про версии протоколов и шифры.

Одна оговорка, которую стоит знать владельцу коммерческого сайта. На странице теста есть чекбокс «Do not show the results on the boards», и по умолчанию он не отмечен — а на главной странице сервиса висят публичные списки недавно проверенных и худших по настройкам сайтов. Если не хотите, чтобы домен туда попал, галку надо поставить до запуска проверки. Если сайт при этом ещё и не открывается целиком, а не только показывает предупреждение, порядок разбора другой — я описывал, что проверять, когда сайт не отвечает и непонятно, кто это чинит, и ошибка сертификата стоит там не первым пунктом.

05Шаг 4. Посмотреть срок и цепочку двумя командами

Две команды закрывают то, что онлайн-сервис показывает не всегда. Документация OpenSSL называет s_client «очень полезным диагностическим инструментом для SSL-серверов», и для диагностики важны два его флага.

-servername ставит в запрос имя сайта. Это критично на обычном хостинге, где на одном адресе живут десятки сайтов: без указания имени сервер отдаст чужой сертификат, и вы увидите ошибку, которой у вас нет. В документации сказано, что без явного -servername расширение заполняется именем из -connect, если оно похоже на DNS-имя, — но на диагностике лучше указать явно.

-showcerts показывает цепочку, и документация тут же предупреждает: «It is not a verified chain» — это то, что сервер прислал, в том порядке, в котором прислал. Именно так ловится самая частая причина AUTHORITY_INVALID у исправного на вид сертификата: промежуточный сертификат на сервер не положили. В браузере на вашем компьютере сайт при этом может открываться — промежуточный сертификат мог остаться в кеше от другого сайта, — а у посетителя нет.

Срок проверяется короче: openssl x509 -dates печатает, по документации, «the start and expiry dates of a certificate». А для календаря есть готовый флаг -checkend, который «checks if the certificate expires within the next arg seconds and exits nonzero if it will expire or zero if not» — то есть возвращает ненулевой код, если сертификат истекает в заданный срок. Это основа любого мониторинга, и она уже встроена в OpenSSL.

06Шаг 5. Спросить Яндекс Вебмастер — он проверяет это каждый день

Яндекс относит некорректную настройку сертификата к ошибкам, а не к замечаниям, и перечисляет четыре повода её поставить: «Истек срок действия сертификата. Сертификат выдан на другой домен или выписан не на все используемые поддомены... Cертификат удостоверяющего центра отсутствует в браузерах пользователей или отозван. Используется самоподписанный сертификат». Проверки, по той же справке, проходят ежедневно, а последствия названы прямо: отдельные страницы или весь сайт могут пропасть из результатов поиска, либо замедлится индексирование.

Там же стоит самый практичный довод из всей справки, и он не про поиск: «Если на сайте есть ошибка настройки SSL-сертификата, браузер покажет предупреждение. Обычно пользователи не переходят на такой сайт». Для сайта с рекламой это означает, что бюджет продолжает списываться, а посетители видят красный экран.

Отдельный инструмент почти никому не известен: в Вебмастере есть проверка наличия сертификата НУЦ по домену — «Инструменты → Проверка наличия сертификата НУЦ». Справка добавляет полезное: «Если вы не запрашивали сертификат, но информация о нем есть в Вебмастере, обратитесь в службу поддержки». Если панель у вас ещё не подключена, порядок подтверждения прав я разбирал в статье про то, как добавить сайт в Вебмастер и какие отчёты в нём появляются сразу, — проверка сертификата там в числе первых, что начинает работать.

07С 15 марта 2026 сертификат живёт 200 дней, а не год

Это та часть, из-за которой «настроил один раз» больше не работает, и о ней почти никто не пишет. Действующие Baseline Requirements CA/Browser Forum — версия 2.3.1 от 4 октября 2026 года — задают максимальный срок ступенями, и ступени уже начали срабатывать.

Формулировка в документе жёсткая: сертификаты, выпущенные с 15 марта 2026 года, «MUST NOT have a Validity Period greater than 200 days». Там же оговорено, что день считается как 86 400 секунд, — сроки считают не календарём. На 31 октября 2026 года действует вторая строка таблицы: 200 дней, не год и не 47 дней, которые иногда называют уже сейчас.

Let's Encrypt подтверждает тот же график со своей стороны и идёт дальше. В документации профилей сертификат по умолчанию живёт 90 дней, профиль tlsserver — 45 дней «в подготовке к будущим ограничениям», а профиль shortlived — 160 часов, то есть меньше недели. Шестидневные сертификаты, по новости самого проекта, стали общедоступны 15 января 2026 года. И отдельная рекомендация из FAQ, которую стоит знать: «We recommend renewing 90 day certificates every 60 days and six day certificates every three days». То есть продлевать надо не в последний день, а за треть срока до него.

Там же предупреждение про лимит, на который налетают при ручной починке: Let's Encrypt выдаёт не больше 5 сертификатов на один и тот же набор имён за 7 дней, и причина названа прямо — переустановка клиента несколько раз при разборе непонятной ошибки. Сбросить лимит нельзя: «If you've hit a rate limit, we don't have a way to temporarily reset it», отзыв сертификата его тоже не обнуляет. Поэтому диагностика идёт до перевыпуска. Если чинить это самому не хочется, я беру настройку HTTPS на сайте вместе с автопродлением сертификата и проверкой цепочки отдельной небольшой работой, и начинается она не с перевыпуска, а с чтения кода ошибки — потому что в половине случаев перевыпускать нечего.

Разберём именно
ваш сайт бесплатно

Посмотрю страницу и рекламу, найду,
где теряются заявки, и пришлю план,
что поменять.

Что входит в разбор

• 1
  Где теряются заявкипуть от объявления до формы
• 2
  Что поправить на сайтепервый экран, оффер, формы
• 3
  Что поменять в рекламезапросы, объявления, бюджет

Михаил Лапошинразберу ваш проект лично

Ваше имяТелефонСайт

TelegramWhatsAppЗвонок

Согласен на обработку данных и политику конфиденциальностиПолучить бесплатный разбор

✓ Заявка принята — отвечу в течение часа

08Где включается бесплатный сертификат: хостинги и Тильда

Про это не пишет ни одна страница пула, хотя читатель запроса сидит ровно здесь. Свёл условия по справкам на 31 октября 2026 года.

Главное в этой таблице — третья строка. У Рег.ру бесплатный сертификат не Let's Encrypt и не продлевается сам: «Бесплатный SSL подключается на 6 месяцев, далее сертификат нужно оплачивать», и «Получить бесплатно SSL-сертификат для каждого домена можно только один раз». Дальше справка добавляет совсем прямо: «Если вы не планируете продлевать SSL-сертификат, по истечении 6 месяцев услуга будет удалена». То есть сайт, который полгода работал по HTTPS, в один день начинает показывать ERR_CERT_DATE_INVALID, и это не поломка, а наступивший срок. У Timeweb и Beget такого сценария нет: оба продлевают сами.

Второе по важности — сроки выпуска, потому что от них зависит, сколько сайт будет лежать. Beget обещает 20–30 минут, Timeweb — 5–10 минут без дополнительных подтверждений, Тильда — 5–30 минут после переключения IP и суточного ожидания DNS. А Рег.ру честно предупреждает, что выпуск может занять «от нескольких часов до нескольких суток», потому что GlobalSign проверяет на фишинг все сертификаты для доменов в зонах .ru и .рф, и сам регистратор в этой проверке не участвует. У Тильды есть отдельное ограничение, важное при переезде: «Сертификат работает только для сайтов, расположенных на Тильде. После экспорта проекта SSL-сертификат не будет работать, его нужно подключать на стороне своего сервера», — если планируете переезд сайта на другой хостинг и хотите понять, что при этом ломается, сертификат в списке обязательных дел на новой стороне.

09Сертификат есть, а «не защищено» всё равно: смешанный контент

Случай, который выглядит как ошибка сертификата, но ею не является. Яндекс описывает механику: если на сайте по HTTPS есть HTTP-ссылки на внутренние страницы или файлы, браузеры и роботы «перестают считать сайт безопасным», и уведомление может показываться посетителю. Тильда говорит о том же с точки зрения владельца конструктора: сторонний код или видео с адресом на HTTP может дать ошибку «Подключение не защищено», «даже если ранее сертификат на самом сайте был подключен корректно».

Лечится это не сертификатом. По той же справке Тильды нужно либо добиться HTTPS у источника, откуда скопирована ссылка, либо найти другой источник с защищённым подключением. Отличить этот случай от настоящей ошибки сертификата просто: тест SSL Labs даёт нормальную букву, openssl показывает валидный срок и полную цепочку, а браузер всё равно недоволен — значит, ищите в коде страницы адрес, начинающийся с http://.

10Как не вернуться к этой ошибке: три записи в календаре

Порядок проверки выше занимает минут десять, но он разовый. Чтобы не проходить его снова, достаточно трёх вещей, и ни одна не требует денег.

Первое — знать, сам ли продлевается ваш сертификат. У Timeweb и Beget ответ в справке есть и он положительный, у Рег.ру отрицательный, у Тильды ответа нет вовсе. Второе — проверка срока по расписанию: openssl x509 -checkend с запасом в 30 дней возвращает ненулевой код заранее, и этого хватает, чтобы узнать о проблеме до посетителей. Третье — Вебмастер: проверки там ежедневные, и ошибку настройки сертификата он покажет на вкладке «Ошибки» сам, если панель подключена и вы читаете её хотя бы раз в неделю.

И одна вещь, которую стоит сделать прямо сейчас: открыть свой сайт в Яндекс Браузере с мобильного интернета и в Chrome на том же устройстве. Разные результаты означают, что дело в корневых сертификатах, а не в вашем сервере, — и дальше вы будете чинить не то, что сломано у вас, а объяснять посетителям, что у них. Если хотите прислать мне адрес сайта и код ошибки с экрана, чтобы разобрать, на какой стороне рвётся цепочка, это разговор на двадцать минут, и чаще всего он заканчивается не перевыпуском сертификата, а одной строкой в настройках сервера.

Михаил ЛапошинМаркетолог, руководитель Laposhin Agency

«Делаем сайты и запускаем Яндекс Директ так, чтобы
сайт приносил заявки, а не просто был»

Есть вопрос по статье?Задать вопрос в Telegram