#Что происходит и как отличить проблему
Если сайт открывается на новом телефоне, но выдаёт ошибку цепочки доверия на старом планшете или компьютере, причины могут быть как в старом хранилище корневых центров и неверных часах, так и в неполной цепочке сервера. Важно не устанавливать случайный корневой сертификат из интернета и не отключать проверку HTTPS.
#Возможные причины
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Устаревшие доверенные корниНа старой ОС отсутствует актуальная доверенная цепочка. | Современные устройства работают, старые с неподдерживаемой ОС — нет. | Проверить обновления ОС или совместимую платформу. |
| Сервер не отдаёт промежуточные сертификатыНовый браузер может достроить цепочку по своему кешу, старый — нет. | Сервер отдаёт только листовой сертификат. | Владелец сайта должен настроить полную цепочку. |
#Пошаговая проверка и устранение
- Сравните устройства без передачи личных данныхНа старом и новом устройстве подключитесь к одной домашней сети и откройте точно одинаковый адрес с https://. Запишите текст ошибки, модель, версию ОС и дату. Если ошибка есть только у старого устройства, не вводите на нём пароли ради проверки. Затем попробуйте тот же адрес в другой сети, чтобы исключить подменяющий прокси.
- Проверьте дату и время старого устройстваНа Windows откройте «Пуск» → «Параметры» → «Время и язык» → «Дата и время», включите автоматическое определение времени, если оно доступно и верен часовой пояс. На телефоне откройте системные настройки даты и времени. Снова проверьте сайт. Неправильные часы часто дают видимость просроченного или ещё не начавшего действовать сертификата; если время правильное, продолжайте.
- Установите доступные обновления системыЧерез штатные настройки обновления старой ОС проверьте официальные исправления безопасности и хранилища доверенных сертификатов, сохраните данные перед обновлением. Если версия больше не поддерживается производителем, не скачивайте «универсальные» корневые сертификаты с форумов и не переиспользуйте чужое хранилище; используйте поддерживаемое устройство для чувствительных операций.
- Уточните, полную ли цепочку отдаёт серверЕсли сайт ваш, в панели хостинга проверьте, подключён ли файл полной цепочки сертификатов. Для сервера nginx директива ssl_certificate обычно ссылается на файл, содержащий листовой сертификат с промежуточными; корневой обычно не нужен. Документация nginx объясняет порядок сертификатов. Не меняйте работающий сертификат только потому, что старое устройство выдаёт ошибку — сначала проверьте цепочку.
- Передайте точные сведения ответственномуЕсли сайт чужой, отправьте администратору только публичный домен, модель устройства, версию ОС, текст ошибки и дату. Если сайт ваш, сопоставьте эти сведения с данными сервера и поддержкой центра сертификации. Не советуйте посетителям нажимать «Продолжить несмотря на риск»: это не решает проверку подлинности соединения.
#Проверка результата и дальнейшие действия
Проверка — сайт работает без предупреждения и на поддерживаемом устройстве после корректировки часов, обновлений или цепочки сервера. Если старое устройство больше не получает исправлений, окончательное решение может состоять в его замене, а не ослаблении TLS.