Ошибка ERR_SSL_VERSION_OR_CIPHER_MISMATCH возникает, когда Google Chrome не может установить безопасное HTTPS-соединение с сайтом. Обычно это означает, что браузер и сервер не могут согласовать совместимые настройки шифрования, хотя причиной также могут быть проблемы с SSL-сертификатом или настройкой CDN.
Если вы посещаете сайт, причина может быть вне вашего контроля. Если вы управляете сайтом, вам потребуется проверить его настройки SSL/TLS.
В этом руководстве мы расскажем, что вызывает ошибку и как её безопасно исправить.
Что означает ERR_SSL_VERSION_OR_CIPHER_MISMATCH?
Когда вы открываете сайт по HTTPS, браузер и сервер выполняют согласование TLS. В ходе этого обмена они согласовывают протокол шифрования и набор шифров, прежде чем приступить к безопасной передаче данных сайта.
Если им не удаётся установить совместимое соединение, Chrome может показать сообщение:
ERR_SSL_VERSION_OR_CIPHER_MISMATCH
Firefox может показать другое сообщение, например SSL_ERROR_NO_CYPHER_OVERLAP.
Современные сайты должны поддерживать TLS 1.2, а желательно и TLS 1.3. Более старые протоколы, включая TLS 1.0 и TLS 1.1, больше не поддерживаются современными браузерами.
Эта ошибка не обязательно означает, что сайт взломан. Она означает, что браузеру не удалось установить ожидаемое безопасное соединение.
Что вызывает эту ошибку SSL?
Работе HTTPS-соединения могут препятствовать разные проблемы.
- Устаревшие протоколы TLS: сервер поддерживает только протоколы шифрования, которые современные браузеры отклоняют.
- Несовместимые наборы шифров: у браузера и сервера нет общих поддерживаемых алгоритмов шифрования.
- Проблемы с настройкой сертификата: сервер или CDN не предоставляет подходящий сертификат для запрошенного имени хоста.
- Настройки Cloudflare: сертификат может ещё активироваться либо текущий сертификат может не охватывать поддомен.
- Устаревшее клиентское ПО: старый браузер, операционная система или средство сетевой защиты может не поддерживать настройки шифрования сервера.
Подходящее решение зависит от того, где возникла проблема.
Как исправить ERR_SSL_VERSION_OR_CIPHER_MISMATCH
1. Проверьте, возникает ли проблема только на одном сайте
Сначала выясните, появляется ли ошибка на одном сайте или на нескольких.
Если не открывается только один сайт, проблема, скорее всего, связана с настройками его сервера, сертификата или CDN.
Если не открываются несколько не связанных между собой сайтов, проверьте браузер, операционную систему, сетевое подключение и защитное ПО.
Попробуйте открыть проблемный сайт в другом обновлённом браузере или на другом устройстве. Эта простая проверка поможет сузить круг возможных причин.
2. Проверьте SSL-сертификат сайта
Если вы управляете сайтом, начните с проверки его общедоступных настроек SSL/TLS.
Проверьте домен с помощью бесплатного сервиса SSL Labs Server Test.
Обратите внимание на:
- Срок действия и действительность сертификата.
- Имена хостов, на которые распространяется сертификат, включая
wwwи поддомены. - Настройку цепочки сертификатов.
- Поддерживаемые версии TLS и наборы шифров.
SSL Labs выявляет проблемы с настройками, но не обновляет сертификаты и не меняет настройки сервера.
Если срок действия сертификата истёк, обновите его и убедитесь, что веб-сервер или обратный прокси-сервер корректно предоставляет новый сертификат.
Проблемы с сертификатом могут вызывать разные ошибки браузера, поэтому не стоит считать, что любое предупреждение о сертификате связано с несовпадением наборов шифров.
3. Включите современные версии TLS
Ваш веб-сервер должен поддерживать современные протоколы шифрования.
Для большинства общедоступных сайтов TLS 1.2 и TLS 1.3 обеспечивают разумный баланс совместимости и безопасности.
Если сервер поддерживает только TLS 1.0 или TLS 1.1, современные браузеры могут отклонять соединение.
Администраторам сайтов следует проверить настройки SSL/TLS в Apache, Nginx или панели управления хостингом.
Включите подходящие современные наборы шифров и отключите устаревшие протоколы. Если серверное ПО слишком старое и не поддерживает их, может потребоваться обновление.
Не включайте устаревшие протоколы шифрования только ради подключения старого браузера. Это снизит безопасность для других посетителей.
4. Проверьте настройки SSL в Cloudflare
Если ваш сайт использует Cloudflare, ошибка может быть связана с сертификатом на пограничном сервере Cloudflare, а не с вашим исходным сервером.
Cloudflare указывает несколько возможных причин, в том числе:
- Сертификат, активация которого ещё не завершилась.
- Пользовательский сертификат с истёкшим сроком действия.
- Имя хоста, на которое не распространяется действующий сертификат.
- Неправильные настройки проксирования для DNS-записи.
Чтобы разобраться в проблеме, откройте панель управления Cloudflare и перейдите в раздел SSL/TLS → Edge Certificates.
Проверьте, активен ли нужный сертификат и распространяется ли он на проблемный домен или поддомен.
Стандартные сертификаты Universal SSL от Cloudflare обычно распространяются на основной домен и поддомены первого уровня. Для имени хоста с более глубокой вложенностью, например app.dev.example.com, может потребоваться дополнительный сертификат.
Для защиты HTTPS-соединения на всём пути также убедитесь, что на исходном сервере установлен подходящий сертификат. Режим Cloudflare Full (strict) проверяет сертификат исходного сервера и предпочтителен при правильной настройке.
5. Проверьте TLS-соединение с сервером
Если у вас есть доступ к терминалу, OpenSSL поможет выявить проблемы при согласовании соединения.
Выполните следующую команду, заменив пример домена на адрес своего сайта:
openssl s_client -connect example.com:443 -servername example.com -tls1_2 -briefЭта проверка покажет, может ли сервер согласовать соединение по TLS 1.2, и выведет сведения о результате.
Вы также можете проверить TLS 1.3:
openssl s_client -connect example.com:443 -servername example.com -tls1_3 -briefЕсли согласовать соединение не удаётся, причиной могут быть неподдерживаемые версии протокола, несовместимые настройки или другая проблема с подключением.
Если ваш сайт использует несколько серверов или IP-адресов, проверьте каждый из них отдельно. Неправильная настройка одного сервера может вызывать периодические сбои HTTPS.
6. Обновите браузер и операционную систему
Если вы посещаете сайт и на других устройствах он работает, обновите браузер и операционную систему.
Устаревшая система может не поддерживать современные протоколы TLS или доверенные центры сертификации.
Также проверьте дату и время на устройстве: неправильные значения могут вызвать проблемы при проверке сертификата.
Очистка данных браузера может помочь при некоторых локальных проблемах, но, как правило, не исправит несовместимые настройки TLS на сервере сайта.
7. Проверьте защитное ПО, не отключая защиту
Некоторые антивирусы, корпоративные прокси-серверы и средства сетевой защиты проверяют HTTPS-трафик. Если такая проверка настроена неправильно, она может мешать установлению безопасных соединений.
Если проблема возникает только в администрируемой сети, обратитесь к сетевому администратору.
Не отключайте брандмауэр или антивирус только ради того, чтобы обойти ошибку. Лучше найти и исправить конфликтующие настройки.
Как предотвратить ошибки SSL/TLS
Владельцы сайтов могут снизить риск проблем с HTTPS благодаря регулярному обслуживанию:
- Обновляйте SSL-сертификаты до истечения срока действия и следите за автоматическим продлением.
- Регулярно обновляйте веб-серверы, операционные системы и библиотеки безопасности.
- Поддерживайте совместимость с TLS 1.2 и TLS 1.3.
- При добавлении доменов или поддоменов проверяйте, распространяется ли на них сертификат.
- Проверяйте работу HTTPS после изменения настроек DNS, CDN или сервера.
Если после установки сертификата вы столкнулись с циклической переадресацией HTTPS, решение этой отдельной проблемы описано в нашем руководстве по устранению ошибки ERR_TOO_MANY_REDIRECTS.
Владельцам сайтов, которые предпочитают хостинг с предоставлением SSL-сертификатов, виртуальный хостинг ZYNOO предлагает SSL-сертификаты наряду с услугами хостинга и поддержки.
Часто задаваемые вопросы
Как правило, сделать это безопасно нельзя. Браузеру не удалось установить совместимое зашифрованное соединение. Вместо того чтобы обходить предупреждение, исправьте настройки TLS или сертификата, вызвавшие проблему.
Проблемы с сертификатом могут вызывать сбои HTTPS, а сертификат на пограничном сервере Cloudflare с истёкшим сроком действия или отсутствие такого сертификата могут вызвать эту ошибку. Однако при истечении срока действия сертификата браузер также может показать другое предупреждение.
Обычно нет. Проблемы с кешем браузера не относятся к основным причинам несовпадения версий TLS или наборов шифров. Если сервер поддерживает только устаревшие протоколы шифрования, необходимо исправить его настройки.
Нет. Эти протоколы устарели. Вместо этого обновите сервер или клиентское ПО для поддержки TLS 1.2 или TLS 1.3.
Заключение
ERR_SSL_VERSION_OR_CIPHER_MISMATCH означает, что не удалось установить безопасное HTTPS-соединение.
Если вы посещаете сайт, сначала попробуйте открыть его в другом браузере или на другом устройстве и установите обновления ПО. Администраторам сайтов в первую очередь следует проверить, на какие имена хостов распространяется сертификат, поддерживаемые версии TLS и наборы шифров, а также настройки CDN.
Задача не в том, чтобы обойти проверки безопасности браузера, а в том, чтобы восстановить правильно настроенное HTTPS-соединение.
