«Ваше подключение не защищено»: почему браузер ругается на сертификат и что делать

Открываете привычный сайт, а вместо него — серая страница с треугольником и надписью «Ваше подключение не защищено». Внизу код вроде NET::ERR_CERT_AUTHORITY_INVALID, кнопка «Дополнительно» и фраза о злоумышленниках, которые могут похитить ваши данные. Первая реакция — либо испугаться, либо нажать «Перейти всё равно» и забыть. Обе неточные.

Эта страница — не вирус и не взлом, а честные слова браузера: «Я не смог убедиться, что говорю с настоящим сайтом, и не буду делать вид, что всё в порядке». Причин около десятка, и они делятся на два семейства: проблема сайта и проблема на вашей стороне. Определить своё можно за минуту, а дальше всё сводится к двум-трём действиям. Разберём, что означает каждый код, где на Windows, macOS, Android и iPhone искать причину и когда кнопку «Перейти всё равно» нажимать допустимо.

Сначала — что именно не работает

Ошибка бывает четырёх видов, и по признакам понятно, куда смотреть:

• Ругается один сайт, остальные открываются. Почти наверняка проблема на стороне сайта: истёк срок сертификата, зеркало или поддомен настроены криво, сайт переехал. Вы ничего не сломали, чинить у себя нечего.
• Ругаются все сайты подряд. Сайты не могут сломаться одновременно, значит, дело в устройстве или сети: сбитые часы, антивирус, чужая сеть с перехватом, отсутствие корневых сертификатов.
• Ошибка только в одной сети. Дома всё нормально, в кафе или в офисе — предупреждения. Это сеть: страница входа в Wi-Fi или корпоративный шлюз, который проверяет защищённый трафик.
• Ошибка только на одном устройстве. Телефон открывает сайт, ноутбук — нет, при одной и той же сети. Значит, что-то с системой на этом устройстве: время, антивирус, старые сертификаты, испорченный профиль браузера.

Как работает HTTPS и зачем нужен сертификат

Когда вы открываете сайт по https://, браузер и сервер договариваются о шифровании. Но шифровать канал бессмысленно, если на другом конце не тот, за кого себя выдаёт. Поэтому сервер предъявляет сертификат — цифровой документ, где сказано: «этот ключ принадлежит сайту example.com, действует с такого-то по такое-то число, подтверждено центром сертификации таким-то». Центр сертификации — организация, чей корневой сертификат заранее встроен в систему или браузер; таких корней в системе около полутора сотен.

Браузер проверяет три вещи: имя в сертификате совпадает с адресом сайта, срок действия сертификата не истёк по часам вашего устройства, цепочка подписей ведёт к доверенному корню. Провал любой из трёх проверок — и вы видите серую страницу. Коды ошибок как раз называют, какая проверка провалилась.

Коды ошибок и что они значат

NET::ERR_CERT_DATE_INVALID — «сертификат просрочен или ещё не действует»

Если ошибка на одном сайте — у него истёк сертификат. Большинство сертификатов сейчас выпускаются на 90 дней и продлеваются автоматически; если автоматика на сервере сломалась, сайт «выпадает» ровно в день истечения, и администратор обычно чинит это за час-два.

Если ошибка на всех сайтах — виноваты часы вашего устройства. Браузер сравнивает даты сертификата с системным временем, и если оно уехало на месяц или на год, любой сертификат выглядит недействительным. Так бывает после полной разрядки телефона, на ПК с севшей батарейкой на материнской плате и на телевизорах, которые давно не синхронизировали время. В Firefox та же ошибка называется SEC_ERROR_EXPIRED_CERTIFICATE, а Safari просто пишет «Это подключение не является частным».

NET::ERR_CERT_AUTHORITY_INVALID — «незнакомый центр сертификации»

Самый частый код при массовой ошибке. Сертификат подписан кем-то, кому система не доверяет. Четыре типичных источника:

1. Антивирус с проверкой защищённых соединений. Чтобы просматривать HTTPS-трафик, антивирус подставляет свой сертификат вместо настоящего. Если его корень не установлен в браузер (например, в Firefox, у которого своё хранилище), каждый сайт становится «недействительным». Проверяется отключением этой функции на минуту.
2. Корпоративная сеть. Офисный шлюз работает по тому же принципу. На рабочем ноутбуке корень компании установлен, на личном телефоне в той же сети — нет. Отсюда предупреждения на всех сайтах именно на личном устройстве.
3. Страница входа в Wi-Fi отеля, кафе, аэропорта. Пока вы не приняли условия сети, любой запрос перенаправляется на страницу входа, а её сертификат не совпадает с сайтом, который вы набрали. Откройте любой адрес по http:// без s, например neverssl.com, — появится форма входа. Подробнее это разобрано в статье о том, почему в отеле не открывается страница входа.
4. Устаревшая система без корневых сертификатов. Windows 7 и 8 без обновлений, Android до 7.1, старые Smart TV и iOS до 10 не знают современных корней: в сентябре 2021 года истёк один из старых корневых сертификатов, на который опиралась значительная часть сайтов, и такие устройства с тех пор видят предупреждения на каждом втором адресе. Лечится обновлением системы или установкой свежего корня вручную. В Firefox код — SEC_ERROR_UNKNOWN_ISSUER.

NET::ERR_CERT_COMMON_NAME_INVALID — «имя не совпадает»

Сертификат настоящий и действующий, но выдан на другое имя. Классические случаи: адрес без www, а сертификат только для www (или наоборот), поддомен или зеркало без сертификата, старый адрес, на котором теперь живёт другой сайт. Почти всегда это проблема сайта. На вашей стороне такое бывает только в одном случае — когда DNS отдаёт неправильный адрес и вы попадаете не на тот сервер. Тогда стоит проверить DNS по инструкции из статьи об ошибках DNS_PROBE_FINISHED_NXDOMAIN. В Firefox код — SSL_ERROR_BAD_CERT_DOMAIN.

Другие коды, которые встречаются реже

• NET::ERR_CERT_REVOKED — сертификат отозван центром. Проблема сайта, ждать.
• NET::ERR_SSL_PROTOCOL_ERROR — стороны не договорились о шифровании: очень старый браузер, вмешательство антивируса или обрыв рукопожатия на отдельных маршрутах до сервера. Часто соседствует с ошибками из статьи про ERR_CONNECTION_TIMED_OUT и ERR_CONNECTION_RESET.
• NET::ERR_CERT_INVALID — сертификат повреждён. Проблема сайта.

Таблица: ошибка → причина → что делать

Быстрые проверки за пять минут

1. Откройте два-три крупных сайта. Если предупреждение только на одном — это его проблема, у вас всё в порядке.
2. Посмотрите на часы. Не только время — дату и год. На Windows: Параметры → Время и язык → Дата и время → «Установить время автоматически» и «Синхронизировать сейчас». На Android: Настройки → Система → Дата и время → «Использовать время сети». На iPhone: Настройки → Основные → Дата и время → «Автоматически». На macOS: Системные настройки → Основные → Дата и время.
3. Нажмите на значок слева от адреса → «Сведения о сертификате». Поле «Кем выдан» отвечает на главный вопрос: публичный центр сертификации, антивирус, ваша компания или что-то неизвестное.
4. Отключите на минуту проверку HTTPS в антивирусе. Пункт называется по-разному: «Проверка защищённых соединений», «Сканирование SSL», «Веб-защита». Если предупреждения пропали — причина найдена: либо оставьте функцию выключенной, либо установите корень антивируса в браузер по его инструкции.
5. Откройте neverssl.com или любой адрес с http://. Если вместо него появилась страница входа в сеть — вы в сети с обязательной авторизацией. Войдите, и предупреждения исчезнут.
6. Проверьте с другого устройства в той же сети. Телефон открывает, ноутбук нет — виновато устройство. Оба не открывают — виновата сеть.
7. Попробуйте другой браузер. Chrome и Edge берут сертификаты из системного хранилища, Firefox — из своего. Если в одном всё хорошо, а в другом нет, дело в хранилище конкретного браузера, а не в сети.

Где проверить время и сертификаты на каждой платформе

На Android и iPhone загляните во вкладку «Пользователь»: там лежат сертификаты, установленные вручную — прежним работодателем или давно удалённым приложением. Лишние можно убрать.

Когда «Перейти всё равно» нажимать нельзя, а когда можно

Браузер прячет кнопку «Дополнительно → Перейти на сайт» потому, что она отключает главную защиту: вы соглашаетесь работать с сайтом, чью подлинность никто не подтвердил. Если посередине действительно стоит кто-то чужой, всё, что вы введёте, — логин, пароль, код из СМС, данные карты — уйдёт ему в открытом виде.

Нажимать допустимо, когда вы знаете источник ошибки и не собираетесь вводить ничего важного: панель роутера по адресу 192.168.0.1 с самоподписанным сертификатом, внутренняя система на работе, о которой предупредил администратор, свой тестовый сервер. Нельзя — когда ошибка появилась на банке, почте, госуслугах, мессенджере или магазине, то есть везде, где вы входите в аккаунт или платите. У сайтов с политикой HSTS (большинство банков и крупных сервисов) браузер кнопку не показывает вовсе: такие сайты попросили никогда не пускать к ним с недействительным сертификатом. Предупреждение может быть и ошибочным — из-за часов или антивируса, — но проверить это нужно до того, как жать кнопку, а не после.

Чужая сеть и подмена: когда виноват маршрут, а не вы

Отдельный сценарий: дома всё в порядке, а в кафе, отеле, коворкинге или гостевой сети офиса предупреждения возникают то на одном сайте, то на другом, сегодня есть, завтра нет. Часы правильные, антивирус ни при чём, страницу входа вы прошли. Это признак того, что в сети кто-то вмешивается в защищённый трафик: шлюз, который пытается его «оптимизировать», фильтр контента, подмена DNS, иногда чужое устройство в той же сети. HTTPS как раз и придуман, чтобы такое вмешательство было видно, — и браузер честно его показывает.

В чужой сети вы не можете починить её оборудование, но можете сделать так, чтобы оно вас не касалось. Защищённое подключение шифрует весь трафик устройства до узла сервиса, и посредники в локальной сети видят только шифрованный поток — им нечего подменять и не во что вмешиваться. Сайты при этом отдают настоящие сертификаты, а браузер снова показывает замок. Профиль с автовыбором сервера сам держит самый быстрый узел: включили — и работаете как дома. Проверить свой случай проще всего сравнением: попробовать 3 дня бесплатно, включить подключение в той самой сети и открыть те же сайты. Если с туннелем предупреждений нет — дело в сети; если остались — причина на устройстве, возвращайтесь к таблице.

Уточнение: в сети с обязательной страницей входа сначала пройдите её и только потом включайте защищённое подключение — иначе туннель не поднимется. Похожие симптомы разобраны в статьях о том, почему приложения пишут «Нет подключения к интернету» и почему Telegram висит на «Подключение…» при вроде бы работающем Wi-Fi.

Профилактика: чтобы предупреждения не возвращались

• Держите автоматическую синхронизацию времени включённой на всех устройствах, включая телевизор и приставку.
• Обновляйте систему: свежие корневые сертификаты приходят с обновлениями.
• В чужих сетях включайте защищённое подключение до того, как открыть банк или почту, а не после первого предупреждения.

Коротко

«Ваше подключение не защищено» — это не диагноз, а вопрос браузера: «Кто на том конце?». Ошибка на одном сайте — проблема сайта, и делать ничего не нужно. Ошибка на всех — смотрите часы, антивирус, чужую сеть и возраст системы, именно в этом порядке. Код ошибки называет провалившуюся проверку: DATE — время, AUTHORITY — незнакомый центр, COMMON_NAME — не то имя. Кнопку «Перейти всё равно» жмите только там, где не вводите пароли, и только когда понимаете причину. А если предупреждения появляются только в чужих сетях, попробуйте защищённое подключение: трафик уходит зашифрованным туннелем, посредникам в сети не во что вмешиваться, и замок в адресной строке возвращается на место.