NET::ERR_CERT_AUTHORITY_INVALID: przeglądarka nie ufa wystawcy certyfikatu

Co pokazuje przeglądarka i co to znaczy

Certyfikat strony wystawia urząd certyfikacji, a przeglądarka ma listę urzędów, którym ufa. Gdy nie potrafi połączyć certyfikatu z żadnym z nich, pokazuje ostrzeżenie zamiast strony:

• Chrome pokazuje „Połączenie nie jest prywatne” z kodem NET::ERR_CERT_AUTHORITY_INVALID. Po kliknięciu „Zaawansowane” pisze: „Ten serwer nie mógł udowodnić, że należy do firma.pl. Jego certyfikat bezpieczeństwa nie jest zaufany w systemie operacyjnym tego komputera.”. Edge pokazuje podobne ostrzeżenie z tym samym kodem.
• Firefox pokazuje „Zachowaj ostrożność. Coś tu nie gra.”. Po kliknięciu „Zaawansowane”, w części „Dlaczego ta witryna wydaje się niebezpieczna?”, wymienia trzy możliwości: nie wiadomo, kto wystawił certyfikat, certyfikat jest samopodpisany albo witryna nie wysyła certyfikatów pośrednich. Kod jest niżej, po słowach „Kod błędu”: SEC_ERROR_UNKNOWN_ISSUER albo, przy certyfikacie podpisanym samodzielnie, MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT.

Obie przeglądarki dodają, że przyczyną może być błędna konfiguracja albo ktoś, kto przechwytuje połączenie. Przy stronie, którą znasz i która jeszcze wczoraj działała, to zwykle konfiguracja serwera, ale dopóki ostrzeżenie jest widoczne, nie podawaj na niej żadnych danych.

Jeśli to cudza strona

• Nie wpisuj na niej haseł, danych karty ani danych osobowych i nie omijaj ostrzeżenia.
• Jeśli ten błąd widzisz na wielu stronach naraz, przyczyna jest zwykle po Twojej stronie: program antywirusowy sprawdzający połączenia https, serwer proxy w sieci firmowej albo publiczne Wi-Fi przed zalogowaniem. Firefox radzi w takiej sytuacji zapytać dział IT albo skonfigurować program antywirusowy. Otwórz stronę w innej sieci, np. w telefonie na danych komórkowych.
• Bardzo stare urządzenia nie znają nowszych urzędów certyfikacji. Let's Encrypt działa na przykład na Androidzie od wersji 7.1.1. Na starszym telefonie ostrzeżenie może dotyczyć tylko Twojego urządzenia.
• Jeśli strona nie działa w żadnej sieci i na żadnym urządzeniu, daj znać jej właścicielowi.

Najczęstsze przyczyny na Twojej stronie

Brak certyfikatu pośredniego łatwo przeoczyć, bo Chrome na komputerze potrafi go pobrać sam. Bramki płatności, aplikacje i część telefonów tego nie robią, więc dla nich strona po prostu nie działa.

Jak sprawdzić, która to przyczyna

1. Wpisz adres strony w narzędziu Sprawdź certyfikat. Rozpozna certyfikat testowy, podpisany samodzielnie, od nieznanego wystawcy i brak certyfikatu pośredniego.
2. W Firefoksie kliknij na stronie z ostrzeżeniem „Zaawansowane”, a potem „Wyświetl certyfikat witryny”. Zobaczysz wystawcę i wszystkie certyfikaty, które wysłał serwer.
3. Na komputerze z terminalem (Linux, macOS, w Windows Git Bash):

   echo | openssl s_client -connect twojadomena.pl:443 \
     -servername twojadomena.pl 2>/dev/null \
     | grep "Verify return code"

   Wynik 21 (unable to verify the first certificate) oznacza brak certyfikatu pośredniego, 18 (self-signed certificate) certyfikat podpisany samodzielnie, a 19 (self-signed certificate in certificate chain) wystawcę spoza listy zaufanych. Poprawny certyfikat daje 0 (ok).

Jak naprawić to na swojej stronie

1. Wygeneruj w generatorze certyfikat w trybie produkcyjnym dla wszystkich adresów strony, np. firma.pl, www.firma.pl.
2. Wgraj go według instrukcji dla swojego hostingu. Jeśli panel ma jedno pole na certyfikat, wklej cały fullchain.pem. Jeśli ma osobne pole na certyfikat pośredni (np. „CA”, „chain”), wklej tam chain.pem.
3. Sprawdź w panelu, czy nowy certyfikat jest przypisany do domeny, pod którą działa strona, a nie tylko dodany do listy.
4. Na własnym serwerze wskaż plik z pełnym łańcuchem: w nginx ssl_certificate, w Apache SSLCertificateFile, w obu przypadkach fullchain.pem. Sprawdź konfigurację (sudo nginx -t albo sudo apachectl configtest) i przeładuj serwer. Całą instalację opisujemy w instrukcji dla serwera.
5. Sprawdź stronę jeszcze raz w narzędziu Sprawdź certyfikat albo poleceniem openssl z poprzedniej części, a potem w oknie prywatnym i na telefonie.