#Что происходит и когда применима инструкция
Браузер предупреждает о сертификате, но непонятно, виноваты ли неправильные дата и часовой пояс на устройстве или действительно истёк сертификат сайта. Проверка должна разделить системные часы клиента, срок действия и доверенную цепочку.
#Основные причины и их признаки
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Неверные часы на компьютереПри сильной разнице времени даже действительные сертификаты кажутся ещё не начавшимися или истёкшими. | Предупреждения появляются сразу на многих известных сайтах | Проверьте часы и синхронизацию устройства. |
| Сертификат действительно вне срокаПоля notBefore и notAfter конечного сертификата не охватывают текущую дату. | Ошибка повторяется на разных устройствах с верным временем | Обновите сертификат на внешней точке TLS. |
| Проблема цепочки либо имениСертификат может быть выдан на другой домен или подписан недоверенным УЦ. | Часы правильные, срок не истёк, но ошибка остаётся | Исследуйте SAN, цепочку и источник TLS. |
#Пошаговая диагностика и устранение
- Сравните симптомы на нескольких сайтахОткройте известный доверенный сайт в той же сети. Если предупреждения о времени возникают практически везде, подозревайте часы устройства. Если только на одном домене — начинайте с внешнего сертификата этого домена.
- Посмотрите точное местное времяВ Windows откройте «Параметры → Время и язык → Дата и время», проверьте дату, часовой пояс и настройку автоматической синхронизации. В Linux с systemd используйте
timedatectl, на macOS — системные настройки даты. Путать время и часовой пояс не нужно: часы системы хранятся и синхронизируются отдельно от отображения.
- Проверьте статус NTP на LinuxЕсли ошибка видна на Linux-клиенте или сервере, выполните просмотр времени и статуса синхронизации. При
System clock synchronized: noисследуйте сетевые и сервисные настройки, а не устанавливайте время вручную наугад. - Linux с systemd, без администратора; вывод только для чтенияLinux · Терминал (Bash)КомандаLinux с systemd, без администратора; вывод только для чтения. На других системах используйте штатные средства ОС.
timedatectl status
- Проверьте срок внешнего сертификатаНа устройстве с OpenSSL получите цепочку с SNI, затем посмотрите поля
notBefore/notAfterв сведениях о сертификате браузера либо с помощьюopenssl x509. Дату сравните с фактическим временем UTC, а не с предположением по часовому поясу.Linux · Терминал (Bash)КомандаТерминал с OpenSSL. Команда показывает TLS-цепочку, а не сама по себе гарантирует доверие и совпадение имени.openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null
- Сверьте время на независимом устройствеОткройте домен с другого телефона или компьютера, где автоматическая синхронизация времени исправна. Если ошибка только на одном устройстве, исправляйте его время и сертификаты; если везде — проблема вероятнее на сервере или общем прокси.
- Исправьте часы штатными средствамиВ настройках даты и времени выберите правильный регион и синхронизацию с разрешённым сервером времени. На управляемом корпоративном устройстве обращайтесь к администратору: неверная синхронизация может указывать на проблему доменной инфраструктуры.
- При реальном истечении обновите сертификатЕсли срок вышел, проверьте действующий инструмент ACME/панель и выпустите актуальный сертификат с теми же необходимыми именами. Не добавляйте пользовательское исключение безопасности вместо исправления срока на сайте.
- Повторите полный тест TLSПосле корректировки времени или выпуска сертификата повторите подключение на исходном и независимом устройстве. Убедитесь, что имя SAN правильное, промежуточные сертификаты присутствуют и ошибка доверия не скрывается настройкой браузера.
#Проверка результата
Часы устройств синхронизированы, внешний сертификат действует в текущий момент и подходит домену, соединение проходит доверенную проверку без пользовательских исключений.
#Если решить проблему не удалось
Если часы верны, но ошибка сохранилась, исследуйте SAN, OCSP/цепочку и HTTPS-инспекцию в сети. Не переводите время компьютера специально «под сертификат»: это ломает другие защищённые подключения.