Your connection is not private: wat de waarschuwing betekent en de oplossing
"Your connection is not private" ("Uw verbinding is niet privé") is Chrome's alarmerende kop voor de hele familie van NET::ERR_CERT_*-certificaatfouten, getoond zodra de browser een certificaat ontvangt dat hij niet volledig kan vertrouwen. De exacte code onder de kop, zichtbaar als u op "Advanced" klikt, vertelt u om welk specifiek probleem het gaat.
Wat de waarschuwing betekent
Anders dan ERR_SSL_PROTOCOL_ERROR, dat optreedt voordat er ook maar een certificaat wordt beoordeeld, betekent deze waarschuwing altijd dat er een certificaat werd ontvangen en geëvalueerd, en dat het faalde bij één specifieke controle: de datums, de uitgever, de hostnaam-match, of de intrekkingsstatus. Chrome groepeert dit alles onder één alarmerende kop omdat het onderliggende risico in beide gevallen hetzelfde is (de verbinding praat mogelijk niet met wie hij denkt), maar de oplossing hangt volledig af van welke specifieke NET::ERR_CERT_*-code erachter zit.
Hoe de waarschuwing verschijnt
Chrome toont een rode waarschuwing over de volledige pagina: "Your connection is not private - Attackers might be trying to steal your information from example.com," met een link "Proceed to example.com (unsafe)" verstopt onder "Advanced." Firefox toont "Warning: Potential Security Risk Ahead" met een specifieke foutcode. Safari toont "This Connection Is Not Private." Edge volgt de bewoording van Chrome op de voet.
Wat de specifieke foutcodes betekenen
| Code | Wat het betekent |
|---|---|
| NET::ERR_CERT_DATE_INVALID | Het geldigheidsvenster van het certificaat dekt het huidige moment niet, ofwel omdat het verlopen is, ofwel omdat het nog niet geldig is, ofwel omdat de klok van het apparaat van de bezoeker verkeerd staat. |
| NET::ERR_CERT_AUTHORITY_INVALID | Het certificaat werd niet uitgegeven door een autoriteit die de browser vertrouwt. Meestal een zelfondertekend certificaat, een ontbrekend tussencertificaat in de keten, of een certificaat van een onbekende of private CA. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Het certificaat is geldig, maar werd niet uitgegeven voor de bezochte hostnaam. Een verkeerd of ontbrekend item in de Subject Alternative Name-lijst (SAN) van het certificaat, vaak na het toevoegen van een nieuw subdomein zonder het certificaat opnieuw uit te geven om dat te dekken. |
| NET::ERR_CERT_REVOKED | De certificaatautoriteit heeft dit certificaat expliciet ingetrokken vóór de vervaldatum, doorgaans omdat de private sleutel gecompromitteerd was of het certificaat verkeerd werd uitgegeven. |
Is het uw apparaat of de site?
Verschijnt de waarschuwing op veel verschillende sites, niet alleen één, controleer dan eerst de klok van uw apparaat: een flink verkeerde datum breekt certificaatvalidatie overal tegelijk en is een van de meest voorkomende oorzaken van deze waarschuwing in het algemeen. Gebeurt het alleen op één site en ziet het er hetzelfde uit vanaf andere apparaten en netwerken, dan moet het certificaat zelf op de server worden hersteld. Een SSL-controle vanaf meerdere locaties bevestigt in één keer of het certificaatprobleem overal consistent is of specifiek voor de opzet van één bezoeker.
Hoe u "Your connection is not private" oplost
Bent u de bezoeker
- Controleer de datum en tijd van uw systeem en zet ze op automatisch synchroniseren; dit alleen al lost een groot deel van de ERR_CERT_DATE_INVALID-waarschuwingen op die niets met de site te maken hebben.
- Zit u op openbare wifi, zoek dan naar een captive portal. Sommige netwerken van hotels, luchthavens, of cafés onderscheppen het eerste HTTPS-verzoek met hun eigen certificaat om u naar een loginpagina te sturen, wat precies deze waarschuwing veroorzaakt; open eerst een gewone HTTP-site of de loginpagina van het netwerk.
- Controleer op HTTPS-scanning door antivirus die de verbinding onderschept met een eigen certificaat; het tijdelijk uitschakelen ervan en opnieuw proberen isoleert of die software de oorzaak is.
- Klik nooit door de waarschuwing heen op een site waar u op het punt staat een wachtwoord, betaalgegevens, of andere gevoelige informatie in te voeren. De waarschuwing bestaat specifiek omdat de browser niet kan bevestigen dat hij daadwerkelijk met de bedoelde site praat; die omzeilen haalt die garantie volledig weg.
- Herkent en vertrouwt u de site wel (bijvoorbeeld een intern bedrijfstool met een zelfondertekend certificaat), dan is dat de ene situatie waarin doorgaan na de waarschuwing, nadat u precies begrijpt waarom die verscheen, een redelijke keuze is.
Beheert u de site
- Installeer de volledige certificaatketen, niet alleen het eindcertificaat. ERR_CERT_AUTHORITY_INVALID wordt vaak veroorzaakt door een ontbrekend tussencertificaat in plaats van een daadwerkelijk niet-vertrouwde uitgever; verifieer met
openssl s_client -connect example.com:443 -showcertsdat de volledige keten in de juiste volgorde wordt geserveerd. - Geef het certificaat opnieuw uit met de juiste SAN-items wanneer ERR_CERT_COMMON_NAME_INVALID verschijnt, en zorg dat elke hostnaam en elk subdomein dat daadwerkelijk in gebruik is vermeld staat, niet alleen het kale domein.
- Vernieuw vóór het verlopen, niet erna, en stel een herinnering of geautomatiseerde vernieuwing in (zoals de certbot van Let's Encrypt met een cronjob) ruim voor de vervaldatum in plaats van pas te reageren op de waarschuwing zodra bezoekers hem beginnen te melden.
- Is een certificaat verkeerd uitgegeven of is een private sleutel blootgesteld, trek het dan meteen in en geef het opnieuw uit in plaats van het actief te laten; ERR_CERT_REVOKED op het oude certificaat is het verwachte en correcte gedrag zodra dat gebeurt.
- Gebruik nooit een zelfondertekend certificaat op een publiek toegankelijke site. Dat is geschikt voor interne tools waar elke client expliciet geconfigureerd kan worden om het te vertrouwen, maar het veroorzaakt ERR_CERT_AUTHORITY_INVALID voor elke gewone bezoeker op een publieke site.
Gerelateerde fouten
- ERR_CERT_DATE_INVALID behandelt het geval verlopen-of-nog-niet-geldig in meer detail, inclusief de invalshoek van klokafwijking.
- ERR_SSL_PROTOCOL_ERROR is de eerdere storing waarbij de handshake al breekt voordat er ook maar een certificaat wordt ontvangen, anders dan elk geval op deze pagina.
Firefox, Safari en Edge sorteren dezelfde onderliggende oorzaken onder licht andere labels en kleuren, maar de scheiding tussen "ligt het aan mijn apparaat" en "ligt het aan het certificaat van de site" gaat bij alle drie op: een klok- of onderscheppingsprobleem op één machine veroorzaakt de waarschuwing overal waar die machine browst, terwijl een echt certificaatdefect het veroorzaakt voor elke bezoeker die die ene site bezoekt, ongeacht welke browser ze gebruiken.
Hoe u het voorkomt
Een certificaatprobleem dat zo zichtbaar is kost vertrouwen op het moment dat een bezoeker het ziet, en verlopen in het bijzonder is volledig van tevoren te voorspellen. Monitoring van het verlopen van SSL-certificaten volgt het aantal resterende dagen op een certificaat en waarschuwt voordat het verloopt, in plaats van nadat bezoekers de waarschuwing beginnen te zien. HostTracker monitort websites sinds 2004 vanaf 300+ meetpunten in 158 steden en waarschuwt via e-mail, sms, spraakoproep, Slack, Telegram en meer.
Veelgestelde vragen
Is het ooit veilig om op "Proceed anyway" te klikken?
Alleen wanneer u precies begrijpt waarom de waarschuwing verscheen en de site sowieso vertrouwt, zoals een intern tool met een zelfondertekend certificaat dat u zelf heeft ingesteld. Ga nooit door op een site waar u op het punt staat een wachtwoord of betaalgegevens in te typen.
Waarom zie ik deze waarschuwing op elke site, niet alleen op één?
Dat wijst vrijwel altijd op een verkeerd staande klok van uw eigen apparaat, of soms op antivirus- of bedrijfssoftware die HTTPS-verkeer op uw machine onderschept. Controleer eerst de systeemdatum.
Wat is het verschil tussen een verlopen certificaat en een ingetrokken certificaat?
Een verlopen certificaat heeft simpelweg het einde van zijn geldigheidsvenster bereikt, een routinematige en verwachte gebeurtenis als het niet op tijd is vernieuwd. Een ingetrokken certificaat werd vroegtijdig expliciet ongeldig gemaakt door de uitgever ervan, meestal vanwege een beveiligingsprobleem zoals een gecompromitteerde private sleutel.
Ik heb een nieuw subdomein toegevoegd en nu toont het deze waarschuwing. Waarom?
De SAN-lijst van het bestaande certificaat bevat waarschijnlijk het nieuwe subdomein niet. Geef het certificaat opnieuw uit om elke hostnaam die daadwerkelijk in gebruik is te dekken, inclusief nieuwe subdomeinen.
Veroorzaakt een loginpagina van hotel- of luchthavenwifi echt een certificaatwaarschuwing?
Ja. Een captive portal die uw eerste HTTPS-verzoek onderschept om u naar de loginpagina ervan te sturen kan geen geldig certificaat voor de site die u probeerde te bereiken presenteren, dus markeert de browser dit terecht. Eerst inloggen op het portal lost het meestal op.