Your connection is not private: що означає і як виправити
"Your connection is not private" - загальне попередження Chrome для всієї родини помилок сертифікатів NET::ERR_CERT_*, яке показується щоразу, коли браузер отримує сертифікат, якому не може повністю довіряти. Точний код під заголовком, видимий, якщо клацнути "Advanced," каже, яка саме це проблема.
Що означає попередження
На відміну від ERR_SSL_PROTOCOL_ERROR, що виникає ще до оцінки якогось сертифіката, це попередження завжди означає, що сертифікат отримали й оцінили, і він провалив одну конкретну перевірку: свої дати, свого видавця, збіг імені хоста чи статус відкликання. Chrome об'єднує все це під одним тривожним заголовком, бо базовий ризик той самий у будь-якому разі (з'єднання може говорити не з тим, з ким думає), але виправлення повністю залежить від того, який конкретно код NET::ERR_CERT_* за ним стоїть.
Як з'являється попередження
Chrome показує повноекранне червоне попередження: "Your connection is not private - Attackers might be trying to steal your information from example.com," з посиланням "Proceed to example.com (unsafe)", схованим під "Advanced." Firefox показує "Warning: Potential Security Risk Ahead" із конкретним кодом помилки. Safari показує "This Connection Is Not Private." Edge близько повторює формулювання Chrome.
Що означають конкретні коди помилок
| Код | Що означає |
|---|---|
| NET::ERR_CERT_DATE_INVALID | Вікно чинності сертифіката не покриває поточний момент - або він прострочений, ще не чинний, або годинник пристрою відвідувача неправильний. |
| NET::ERR_CERT_AUTHORITY_INVALID | Сертифікат видала не та інстанція, якій довіряє браузер. Зазвичай самопідписаний сертифікат, відсутній проміжний сертифікат у ланцюжку, чи сертифікат від невизнаного чи приватного CA. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Сертифікат чинний, але його видали не для того імені хоста, яке відвідують. Неправильний чи відсутній запис у списку Subject Alternative Name (SAN) сертифіката, часто після додавання нового субдомену без перевидачі сертифіката для його покриття. |
| NET::ERR_CERT_REVOKED | Центр сертифікації явно відкликав цей сертифікат до дати закінчення його терміну дії, зазвичай тому, що приватний ключ скомпрометовано чи сертифікат видали неправильно. |
Це ваш пристрій чи сайт?
Якщо попередження з'являється на багатьох різних сайтах, а не лише на одному, спершу перевірте годинник свого пристрою: сильно неправильна дата ламає валідацію сертифікатів усюди одразу і є однією з найпоширеніших причин цього попередження загалом. Якщо це трапляється лише на одному сайті й виглядає однаково з інших пристроїв і мереж, сам сертифікат потребує виправлення на сервері. SSL-перевірка з кількох локацій за один прохід підтверджує, чи проблема з сертифікатом стабільна скрізь, чи специфічна для налаштування одного відвідувача.
Як виправити "Your connection is not private"
Якщо ви відвідувач
- Перевірте системну дату й час і налаштуйте автоматичну синхронізацію; це саме собою вирішує значну частку попереджень ERR_CERT_DATE_INVALID, що не мають жодного стосунку до сайту.
- Якщо ви на публічному Wi-Fi, шукайте captive-портал. Деякі мережі готелів, аеропортів чи кафе перехоплюють перший HTTPS-запит власним сертифікатом, щоб перенаправити вас на сторінку входу, що спричиняє саме це попередження; спершу відкрийте звичайний HTTP-сайт чи сторінку входу мережі.
- Перевірте на сканування HTTPS антивірусом, що перехоплює з'єднання власним сертифікатом; тимчасове вимкнення й повторна спроба ізолює, чи саме це ПЗ причина.
- Ніколи не переходьте далі при попередженні на сайті, де ви от-от введете пароль, платіжні дані чи іншу чутливу інформацію. Попередження існує саме тому, що браузер не може підтвердити, що справді говорить із сайтом, який ви мали намір відвідати; обхід повністю прибирає цю гарантію.
- Якщо ви справді впізнаєте й довіряєте сайту (наприклад, внутрішньому корпоративному інструменту із самопідписаним сертифікатом), це той єдиний випадок, коли перехід повз попередження, після точного розуміння, чому воно з'явилося, - розумний вибір.
Якщо ви керуєте сайтом
- Встановіть повний ланцюжок сертифікатів, а не лише кінцевий сертифікат. ERR_CERT_AUTHORITY_INVALID часто спричинений відсутнім проміжним сертифікатом, а не справді недовіреним видавцем; перевірте командою
openssl s_client -connect example.com:443 -showcerts, що повний ланцюжок віддається в правильному порядку. - Перевидайте сертифікат із правильними записами SAN щоразу, коли з'являється ERR_CERT_COMMON_NAME_INVALID, переконавшись, що перелічене кожне ім'я хоста й субдомен, що справді використовується, а не лише голий домен.
- Поновлюйте до закінчення терміну дії, а не після, і встановіть нагадування чи автоматичне поновлення (наприклад, certbot від Let's Encrypt із завданням cron) заздалегідь до дати закінчення, а не реагуйте на попередження, щойно відвідувачі почнуть про нього повідомляти.
- Якщо сертифікат видали неправильно чи приватний ключ розкрили, негайно відкличте й перевидайте його, а не лишайте живим; ERR_CERT_REVOKED на старому сертифікаті - очікувана й правильна поведінка, щойно це станеться.
- Ніколи не використовуйте самопідписаний сертифікат на публічному сайті. Це підходить для внутрішніх інструментів, де кожен клієнт можна явно налаштувати довіряти йому, але це спричинить ERR_CERT_AUTHORITY_INVALID для кожного звичайного відвідувача на публічному сайті.
Пов'язані помилки
- ERR_CERT_DATE_INVALID детальніше охоплює випадок простроченого чи ще не чинного сертифіката, включно з аспектом розбіжності годинника.
- ERR_SSL_PROTOCOL_ERROR - збій на ранішій стадії, де рукостискання зривається ще до того, як узагалі отримано якийсь сертифікат, на відміну від кожного випадку на цій сторінці.
Firefox, Safari й Edge сортують ті самі базові причини під дещо іншими мітками й кольорами, але поділ на "це мій пристрій" чи "це сертифікат сайту" тримається в усіх них: проблема з годинником чи перехопленням на одній машині спричиняє попередження всюди, де ця машина переглядає інтернет, тоді як справжній дефект сертифіката спричиняє його для кожного відвідувача, що заходить на той один сайт, незалежно від того, який браузер той використовує.
Як запобігти цьому
Настільки видима проблема з сертифікатом коштує довіри тієї миті, коли відвідувач її бачить, а закінчення терміну дії, зокрема, повністю передбачуване заздалегідь. Моніторинг терміну дії SSL-сертифіката відстежує кількість днів, що лишилися в сертифіката, і сповіщає до того, як він закінчиться, а не після того, як відвідувачі почнуть бачити попередження. HostTracker моніторить вебсайти з 2004 року з понад 300 контрольних точок у 158 містах і сповіщає електронною поштою, SMS, голосовим дзвінком, у Slack, Telegram та іншими способами.
Часті запитання
Чи безпечно колись натискати "Proceed anyway"?
Лише коли ви точно розумієте, чому з'явилося попередження, і все одно довіряєте сайту, наприклад внутрішньому інструменту із самопідписаним сертифікатом, який ви самі й налаштували. Ніколи не переходьте далі на сайті, де ви от-от введете пароль чи платіжну інформацію.
Чому я бачу це попередження на кожному сайті, а не лише на одному?
Це майже завжди вказує на неправильний годинник вашого власного пристрою, чи іноді на антивірусне чи корпоративне ПЗ, що перехоплює HTTPS-трафік на вашій машині. Спершу перевірте системну дату.
Яка різниця між простроченим сертифікатом і відкликаним?
Прострочений сертифікат просто дійшов кінця свого вікна чинності, звична й очікувана подія, якщо не поновити вчасно. Відкликаний сертифікат явно й достроково визнав недійсним його видавець, зазвичай через проблему безпеки на кшталт скомпрометованого приватного ключа.
Я додав новий субдомен, і тепер він показує це попередження. Чому?
Найімовірніше, наявний список SAN сертифіката не включає новий субдомен. Перевидайте сертифікат, щоб покрити кожне ім'я хоста, що справді використовується, включно з будь-якими новими субдоменами.
Чи справді сторінка входу Wi-Fi готелю чи аеропорту може спричинити попередження про сертифікат?
Так. Captive-портал, що перехоплює ваш перший HTTPS-запит, щоб перенаправити вас на свою сторінку входу, не може пред'явити валідний сертифікат для сайту, до якого ви намагалися дістатися, тож браузер правильно на це вказує. Спершу увійшовши через портал, це зазвичай вирішується.