Ваше подключение не защищено. NET::ERR_CERT_AUTHORITY_INVALID
#Откуда ошибка
Браузер строит цепочку от сертификата сайта до корневого сертификата, который есть в хранилище системы или браузера. Ошибка означает, что цепочка не доходит до известного корня. Бывает четыре случая: самоподписанный сертификат (сервер подписал себя сам), частный корпоративный центр сертификации, неполная цепочка (сервер не отдаёт промежуточный сертификат) и подмена сертификата антивирусом или сетью, чей корень у вас не установлен.
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Самоподписанный сертификатСоздан командой openssl без центра. | Издатель совпадает с субъектом. | Выпустите бесплатный сертификат Let's Encrypt (sudo certbot --nginx -d example.com). |
Неполная цепочкаВ ssl_certificate указан cert.pem, а не fullchain.pem. | В Chrome ошибка, в curl на Linux тоже. | Укажите файл fullchain.pem, который включает промежуточные сертификаты. |
| Внутренний корпоративный центрСервер в локальной сети. | Только у сотрудников ошибка. | Установите корень организации на компьютеры через групповую политику. |
| Антивирус подменяет сертификатВключена проверка HTTPS. | Издатель — название антивируса. | Отключите проверку защищённых соединений в антивирусе или добавьте сайт в исключения. |
| Корпоративный проксиПерехват трафика. | Ошибка на всех сайтах в этой сети. | Установите сертификат организации у себя или обратитесь к администратору. |
#Для посетителя
- Не вводите пароли и данные картЕсли браузер предупреждает, что сертификат выдан неизвестным центром или подписан самим сервером, не вводите пароли, платёжные реквизиты и другие личные данные. Проверьте точный адрес и имя сертификата, а для публичного сайта сообщите владельцу о проблеме. Продолжать через предупреждение допустимо лишь в изолированной тестовой среде своего сервера, когда вы независимо проверили сертификат и понимаете риск. На чужом сайте не нажимайте «Всё равно перейти» и не устанавливайте неизвестный корневой сертификат.
- Проверьте время и датуНажмите Win+I, откройте «Время и язык → Дата и время». Проверьте текущий часовой пояс, включите «Устанавливать время автоматически» и нажмите «Синхронизировать», если кнопка доступна. Закройте программу и снова выполните действие, которое вызывало ошибку. Если время снова сбивается после выключения ПК, проверьте батарейку BIOS/UEFI.
- Откройте сайт в другой сетиОткройте тот же HTTPS-сайт на телефоне через мобильные данные вместо публичного или домашнего Wi-Fi. Если там сертификат доверенный, а в исходной сети появляется предупреждение о неизвестном издателе, возможны портал авторизации или перехват HTTPS. Сравните имя издателя и точный адрес; в управляемой сети запросите объяснение у администратора, в публичной сначала пройдите официальный портал авторизации. Не добавляйте неизвестный корневой сертификат и не вводите пароли на странице с предупреждением.
- Посмотрите издателяЕсли браузер предупреждает о недоверенном сертификате, откройте сведения о сертификате без обхода предупреждения: в браузере выберите подробности ошибки или значок информации о подключении, затем раздел «Сертификат» (маршрут отличается по версиям). Найдите поля «Кем выдан» (Issuer), «Кому выдан» и срок действия. Издатель с названием организации или защитного ПО может указывать на законный корпоративный перехват HTTPS, но само название не доказывает, что сертификат безопасен. На управляемом ПК сверяйте его с администратором сети; на личном устройстве с неожиданным издателем не вводите пароли и проверьте подключение через другую сеть. Не устанавливайте неизвестные корневые сертификаты ради исчезновения предупреждения.
- Обновите системуСохраните открытые документы. В Windows 11 нажмите Win+I → «Центр обновления Windows»; в Windows 10 — «Обновление и безопасность → Центр обновления Windows». Нажмите «Проверить наличие обновлений», установите доступные исправления и перезагрузите компьютер, когда система предложит. Повторите действие и проверьте, исчезла ли ошибка.
- Обновить корневые сертификаты Windows с серверов MicrosoftWindows · Командная строка (CMD)КомандаПрава администратораОбновить корневые сертификаты Windows с серверов Microsoft
certutil -generateSSTFromWU roots.sst
Файл roots.sst затем можно открыть двойным щелчком и импортировать в «Доверенные корневые центры сертификации». Делайте это только для файла, сформированного этой командой.
#Для владельца сайта
Linux · Терминал (Bash)Команда
Проверка цепочки, которую отдаёт сервер (должно быть: сертификат сайта + промежуточный)
echo | openssl s_client -connect example.com:443 -servername example.com -showcerts 2>/dev/null | grep -E "s:|i:|Verify return"#Свой тестовый сервер без ошибок
Для разработки используйте утилиту mkcert: она создаёт локальный центр и добавляет его в доверенные в системе и браузерах.
Linux · Терминал (Bash)Команда
Установка локального центра и выпуск сертификата для разработки
mkcert -installmkcert localhost 127.0.0.1 ::1Полученные файлы localhost+2.pem и localhost+2-key.pem подключите в веб-сервер. Не используйте такие сертификаты на публичных серверах и не передавайте закрытый ключ rootCA-key.pem другим людям.