ERR_SSL_VERSION_OR_CIPHER_MISMATCH : comment y remédier

L’erreur ERR_SSL_VERSION_OR_CIPHER_MISMATCH apparaît lorsque Google Chrome ne parvient pas à établir une connexion HTTPS sécurisée avec un site web. Elle indique généralement que le navigateur et le serveur ne parviennent pas à s’accorder sur des paramètres de chiffrement compatibles, bien que certains problèmes liés aux certificats SSL et à la configuration du CDN puissent également la déclencher.

Si vous consultez un site web, le problème peut être indépendant de votre volonté. Si vous gérez ce site, vous devrez vérifier sa configuration SSL/TLS.

Ce guide explique les causes de cette erreur et comment y remédier en toute sécurité.

Que signifie l’erreur ERR_SSL_VERSION_OR_CIPHER_MISMATCH ?

Lorsque vous ouvrez un site web HTTPS, votre navigateur et le serveur effectuent une poignée de main TLS. Au cours de cet échange, ils négocient un protocole de chiffrement et une suite de chiffrement avant de transmettre les données du site web en toute sécurité.

S’ils ne parviennent pas à établir une connexion compatible, Chrome peut afficher le message suivant :

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

Firefox peut afficher un message différent, tel que « SSL_ERROR_NO_CYPHER_OVERLAP ».

Les sites web modernes devraient prendre en charge le protocole TLS 1.2 et, de préférence, le protocole TLS 1.3. Les protocoles plus anciens, notamment TLS 1.0 et TLS 1.1, ne sont plus pris en charge par les navigateurs modernes.

Cette erreur ne signifie pas nécessairement qu’un site web a été piraté. Elle indique simplement que le navigateur n’a pas pu établir la connexion sécurisée attendue.

Quelles sont les causes de cette erreur SSL ?

Plusieurs problèmes peuvent empêcher une connexion HTTPS de fonctionner.

• Protocoles TLS obsolètes : le serveur ne prend en charge que des protocoles de chiffrement que les navigateurs modernes rejettent.
• Suites de chiffrement incompatibles : le navigateur et le serveur ne disposent d’aucun algorithme de chiffrement pris en charge par les deux parties.
• Problèmes de configuration du certificat : le serveur ou le CDN ne présente pas de certificat approprié pour le nom d’hôte demandé.
• Configuration Cloudflare : un certificat est peut-être encore en cours d’activation, ou un sous-domaine n’est peut-être pas couvert par le certificat actuel.
• Logiciels clients obsolètes : un navigateur, un système d’exploitation ou un produit de sécurité réseau plus ancien peut ne pas prendre en charge les paramètres de chiffrement du serveur.

La solution appropriée dépend de l’origine du problème.

Comment résoudre l’erreur ERR_SSL_VERSION_OR_CIPHER_MISMATCH

1. Vérifiez si le problème concerne un seul site web

Commencez par déterminer si l’erreur apparaît sur un seul site web ou sur plusieurs.

Si un seul site web ne fonctionne pas, le problème est probablement lié à son serveur, à son certificat ou à la configuration de son CDN.

Si plusieurs sites web sans rapport entre eux ne fonctionnent pas, vérifiez votre navigateur, votre système d’exploitation, votre connexion réseau et vos logiciels de sécurité.

Essayez d’ouvrir le site web concerné dans un autre navigateur à jour ou sur un autre appareil. Ce test simple peut vous aider à cerner la cause du problème.

2. Vérifiez le certificat SSL du site web

Si vous gérez le site web, commencez par vérifier sa configuration SSL/TLS publique.

Utilisez l’outil gratuit SSL Labs Server Test pour analyser le domaine.

Prêtez attention aux éléments suivants :

• Expiration et validité du certificat.
• Couverture des noms d’hôte, y compris www et ses sous-domaines.
• Configuration de la chaîne de certificats.
• Versions TLS et suites de chiffrement prises en charge.

SSL Labs identifie les problèmes de configuration, mais ne met pas à jour les certificats ni ne modifie les paramètres du serveur.

Si votre certificat a expiré, renouvelez-le et vérifiez que le serveur web ou le proxy inverse le présente correctement.

Les problèmes liés aux certificats peuvent générer plusieurs types d’erreurs de navigateur ; ne supposez donc pas que chaque avertissement concernant un certificat correspond à une incompatibilité de chiffrement.

3. Activez les versions TLS modernes

Votre serveur web doit prendre en charge les protocoles de chiffrement modernes.

Pour la plupart des sites web publics, TLS 1.2 et TLS 1.3 constituent une base raisonnable en matière de compatibilité et de sécurité.

Si le serveur ne prend en charge que TLS 1.0 ou TLS 1.1, les navigateurs modernes peuvent refuser la connexion.

Les administrateurs de sites Web doivent vérifier les paramètres SSL/TLS dans Apache, Nginx ou leur panneau de contrôle d’hébergement.

Activez les suites de chiffrement modernes appropriées et supprimez les protocoles obsolètes. Si le logiciel serveur est trop ancien pour les prendre en charge, une mise à jour peut s’avérer nécessaire.

Évitez d’activer un cryptage obsolète dans le seul but de permettre à un ancien navigateur de se connecter. Cela affaiblit la sécurité des autres visiteurs.

4. Vérifiez les paramètres SSL de Cloudflare

Si votre site web utilise Cloudflare, l’erreur peut provenir de son certificat de périphérie plutôt que de votre serveur d’origine.

Cloudflare identifie plusieurs causes possibles, notamment :

• Un certificat dont l’activation n’est pas encore terminée.
• Un certificat personnalisé arrivé à expiration.
• Un nom d’hôte qui n’est pas couvert par le certificat actif.
• Des paramètres de proxy incorrects pour un enregistrement DNS.

Pour vérifier cela, ouvrez votre tableau de bord Cloudflare et accédez à SSL/TLS → Certificats Edge.

Vérifiez si le certificat concerné est actif et s’il couvre le domaine ou le sous-domaine concerné.

Les certificats Universal SSL standard de Cloudflare couvrent généralement le domaine principal et les sous-domaines de premier niveau. Un nom d’hôte plus spécifique, tel que app.dev.example.com, peut nécessiter une couverture supplémentaire par le certificat.

Pour un HTTPS de bout en bout, assurez-vous également que votre serveur d’origine dispose d’un certificat adapté. Le mode « Full » (strict) de Cloudflare valide le certificat d’origine et est préférable lorsqu’il est correctement configuré.

5. Testez la connexion TLS du serveur

Si vous disposez d’un accès au terminal, OpenSSL peut vous aider à identifier les problèmes de handshake.

Exécutez la commande suivante, en remplaçant le domaine d’exemple par celui de votre site web :

openssl s_client -connect example.com:443 -servername example.com -tls1_2 -brief

Cela permet de vérifier si le serveur est capable de négocier une connexion TLS 1.2 et affiche des informations sur le résultat.

Vous pouvez également tester le protocole TLS 1.3 :

openssl s_client -connect example.com:443 -servername example.com -tls1_3 -brief

Un établissement de connexion échoué peut indiquer des versions de protocole non prises en charge, des paramètres incompatibles ou un autre problème de connexion.

Si votre site web utilise plusieurs serveurs ou adresses IP, vérifiez-les un par un. Un seul serveur mal configuré peut entraîner des dysfonctionnements intermittents du protocole HTTPS.

6. Mettez à jour votre navigateur et votre système d’exploitation

Si vous êtes un visiteur et que le site fonctionne sur d’autres appareils, veuillez mettre à jour votre navigateur et votre système d’exploitation.

Un système obsolète peut ne pas prendre en charge les protocoles TLS actuels ou les autorités de certification de confiance.

Vérifiez également la date et l’heure de votre appareil, car des paramètres incorrects peuvent entraîner des problèmes de validation des certificats.

La suppression des données du navigateur peut aider à résoudre certains problèmes locaux, mais elle ne permet généralement pas de corriger une configuration TLS incompatible sur le serveur du site web.

7. Vérifiez vos logiciels de sécurité sans désactiver la protection

Certains logiciels antivirus, proxys d’entreprise et outils de sécurité réseau inspectent le trafic HTTPS. Une inspection mal configurée peut perturber les connexions sécurisées.

Si le problème survient uniquement sur un réseau géré, contactez votre administrateur réseau.

Évitez de désactiver votre pare-feu ou votre protection antivirus simplement pour contourner l’erreur. La meilleure solution consiste à identifier et à corriger la configuration à l’origine du conflit.

Comment prévenir les erreurs SSL/TLS

Les propriétaires de sites Web peuvent réduire les problèmes HTTPS futurs grâce à une maintenance régulière :

• Renouvelez les certificats SSL avant leur expiration et surveillez les renouvellements automatiques.
• Maintenez à jour les serveurs Web, les systèmes d’exploitation et les bibliothèques de sécurité.
• Assurez la compatibilité avec les protocoles TLS 1.2 et TLS 1.3.
• Vérifiez la couverture des certificats lors de l’ajout de domaines ou de sous-domaines.
• Testez le protocole HTTPS après avoir modifié les paramètres DNS, les paramètres CDN ou les configurations des serveurs.

Si vous rencontrez des boucles de redirection HTTPS après l’installation d’un certificat, notre guide de dépannage « ERR_TOO_MANY_REDIRECTS » traite ce problème spécifique.

Pour les propriétaires de sites web qui préfèrent un hébergement incluant la fourniture d’un certificat SSL, l’hébergement mutualisé de ZYNOO propose des certificats SSL ainsi que des services d’hébergement et d’assistance.

Foire aux questions

Conclusion

Le code d’erreur ERR_SSL_VERSION_OR_CIPHER_MISMATCH indique qu’une connexion HTTPS sécurisée n’a pas pu être établie.

Pour les visiteurs, commencez par essayer un autre navigateur ou un autre appareil et installez les mises à jour logicielles. Pour les administrateurs de sites web, privilégiez la couverture des certificats, les versions TLS prises en charge, les suites de chiffrement et la configuration du CDN.

L’objectif n’est pas de contourner les contrôles de sécurité du navigateur, mais de rétablir une connexion HTTPS correctement configurée.