«Подключение не защищено»: почему браузер ругается и как это убрать

Ошибка «Подключение не защищено» означает, что браузер не смог проверить SSL-сертификат сайта и на всякий случай закрыл страницу предупреждением. Чаще всего сертификат просто истёк, реже — выпущен не на тот адрес, установлен с ошибкой или не установлен вовсе. Если ошибка видна только на одном устройстве, дело обычно в неправильной дате или в антивирусе. Ниже разберём, как отличить одно от другого, что означают коды ошибки и как исправить её по шагам.

Что означает ошибка «Подключение не защищено»

Заходит человек на сайт, а вместо страницы — предупреждение во весь экран. Половина посетителей на этом месте разворачивается, даже не пытаясь нажать «всё равно перейти». Хорошая новость в том, что причин у этой ошибки немного, и почти все чинятся быстро.

Браузер проверяет SSL-сертификат сайта — тот самый, что отвечает за замок в адресной строке и за протокол https. Сертификат подтверждает две вещи: что соединение зашифровано и что сайт действительно тот, за кого себя выдаёт. Если с сертификатом что-то не так, браузер решает не рисковать и закрывает доступ предупреждением. Дело почти всегда в сертификате, а не в самом сайте, поэтому паниковать рано.

Формулировка зависит от браузера: в Chrome это «Подключение не защищено», в Яндекс Браузере — сообщение о невозможности установить безопасное соединение, в Firefox и Safari текст свой, но смысл тот же. Не путайте эту ошибку с пометкой «Не защищено» в адресной строке: пометка появляется, когда сайт вообще работает без https, и страницу при этом не закрывает.

Сначала выясните: проблема на сайте или на устройстве

От ответа зависит, кому и что чинить. Проверка занимает пару минут.

1. Откройте сайт с другого устройства и через другую сеть — например, с телефона через мобильный интернет, а не через офисный Wi-Fi.
2. Откройте сайт в другом браузере.
3. Попросите зайти на сайт человека из другого города.

Если ошибка есть везде — причина на стороне сайта, и исправлять её нужно владельцу. Если сайт открывается у всех, кроме одного компьютера или телефона, — причина в этом устройстве.

Причины на стороне сайта и что с ними делать

Под предупреждением есть кнопка «Дополнительные». Нажмите её: браузер покажет код ошибки, по которому понятна причина.

Сертификат истёк

Самое частое. SSL выдают на срок, и его надо продлевать. Бесплатные сертификаты Let's Encrypt действуют не дольше 90 дней и продлеваются автоматически — пока автоматика работает. Платные покупают на год и больше, но и их приходится перевыпускать: максимальный срок действия сертификатов в отрасли постепенно сокращают. Решение — обновить сертификат, а лучше включить автопродление. Что при этом видит клиент и поисковик, описано в статье SSL истёк, а почему автоматика иногда даёт сбой — в материале про автопродление Let's Encrypt.

Если ошибка появилась внезапно на работавшем сайте — первым делом смотрите срок действия сертификата. В девяти случаях из десяти он просто истёк, а про продление забыли.

Сертификат не на тот домен

Например, сертификат выпущен на domain.ru, а сайт открывают на www.domain.ru. Или основной сайт защищён, а поддомен с магазином или личным кабинетом — нет. Нужен сертификат, покрывающий все варианты адреса. Если поддоменов много, удобнее один сертификат на все сразу — о нём в статье Wildcard-сертификат.

Сертификат не установлен или установлен с ошибкой

Домен есть, https включили, а сертификат не привязали — сервер отдаёт чужой или служебный сертификат, и браузер ругается на несовпадение имени. Бывает и так, что сертификат выпущен правильно, но на сервер загружен без промежуточных сертификатов, которые связывают его с удостоверяющим центром. Тогда на одних устройствах сайт открывается, а на других — нет. Надо выпустить сертификат и установить его целиком, вместе с цепочкой.

Издателю сертификата не доверяет браузер

Самоподписанный сертификат, который сервер создал сам для себя, шифрует соединение, но ничего не подтверждает — браузеры его не принимают. Похожая ситуация с сертификатами российских удостоверяющих центров: без дополнительной настройки им доверяют не все браузеры. Если сайтом пользуются обычные посетители с любыми браузерами, выбирайте сертификат, который признаётся везде.

Смешанное содержимое

Сайт работает по https, а часть картинок или скриптов грузится по http. Предупреждения на весь экран при этом обычно нет, но замок становится неполным, а часть элементов страницы браузер блокирует. Лечится заменой ссылок на https — порядок действий в статье смешанный контент после установки SSL.

Причины на стороне посетителя

Если ошибка появляется только на одном устройстве, и особенно если она возникает сразу на многих сайтах, сертификат ни при чём.

• Неверная дата и время. Самая частая причина. Если часы устройства отстали или убежали вперёд, действующий сертификат выглядит для браузера просроченным или ещё не начавшим действовать. Включите автоматическую установку времени.
• Антивирус проверяет защищённые соединения. Для этого он подставляет собственный сертификат, и иногда браузер его не принимает. Попробуйте временно отключить проверку HTTPS в настройках антивируса.
• Общественный Wi-Fi. В кафе, гостиницах и транспорте сеть сначала требует авторизации и перехватывает соединение. Откройте любую страницу без https, пройдите авторизацию и повторите.
• Старая операционная система или браузер. На давно не обновлявшихся устройствах нет сведений о новых удостоверяющих центрах. Помогает обновление системы или хотя бы браузера.
• Расширения браузера и VPN. Проверьте сайт в режиме инкогнито и с отключённым VPN.
• Устаревшие данные в браузере. После того как сертификат на сайте исправили, старая ошибка иногда держится до очистки кэша или перезапуска браузера.

Как исправить ошибку на своём сайте: пошагово

1. Нажмите «Дополнительные» под предупреждением и запишите код ошибки.
2. Посмотрите сведения о сертификате: нажмите на значок слева от адреса. Вам нужны три вещи — срок действия, список доменов и издатель.
3. Если срок истёк — продлите сертификат. На хостинге это обычно делается в панели управления в разделе SSL, бесплатный сертификат перевыпускается за несколько минут.
4. Если в списке доменов нет нужного адреса — перевыпустите сертификат, добавив вариант с www, без www и используемые поддомены.
5. Если сертификат самоподписанный или установлен без цепочки — выпустите сертификат удостоверяющего центра и установите его вместе с промежуточными.
6. После установки перезапустите веб-сервер, если вы делаете это вручную на своём сервере: без перезапуска он продолжит отдавать старый сертификат.
7. Проверьте сайт по всем адресам: с www и без, по http и https, с телефона и компьютера. Со старых вариантов должна работать переадресация на основной адрес.
8. Убедитесь, что замок в адресной строке полный и на страницах нет смешанного содержимого.
9. Включите автопродление и мониторинг, чтобы история не повторилась.

Если сайт на виртуальном хостинге, всё это делается в панели управления или запросом в поддержку. На собственном сервере сертификат настраивает администратор.

Чем ошибка грозит сайту

• Посетители уходят, не увидев страницу. Большинство не нажимает «всё равно перейти» — и правильно делает.
• Рекламный бюджет тратится впустую: за переход по объявлению вы платите, а человек упирается в предупреждение.
• Перестают работать оплата, формы и сервисы, которые обращаются к сайту по защищённому протоколу.
• Поисковые роботы тоже сталкиваются с ошибкой. Яндекс Вебмастер предупреждает о некорректном сертификате, а затянувшаяся проблема может сказаться на позициях.
• Страдает репутация: для посетителя предупреждение о небезопасности звучит как «сайт взломан», даже если это не так.

Частые ошибки при исправлении

• Советуют клиентам «просто нажать „перейти“». Вы приучаете людей игнорировать предупреждения, а большинство всё равно не нажмёт.
• Ставят самоподписанный сертификат. Ошибка остаётся, меняется только её код.
• Покупают сертификат, но не устанавливают. Оплата в личном кабинете ничего не меняет, пока файлы не загружены на сервер.
• Забывают про второй вариант адреса. Сайт без www починили, а с www по-прежнему открывается с ошибкой.
• Отключают https совсем. Предупреждение на весь экран пропадает, зато появляется пометка «Не защищено», а формы и оплата остаются без шифрования.
• Переводят часы на устройстве назад. Сайт открывается, но ломается всё остальное, а у посетителей ошибка никуда не девается.

Как избежать ошибки в будущем

• Включено автопродление сертификата, чтобы он не истекал незаметно.
• Настроено уведомление об истечении хотя бы за пару недель — на почту, которую действительно читают.
• После установки сайт проверен и с www, и без него, и на мобильном.
• Весь сайт работает по https, без старых http-ссылок внутри.
• Сертификат покрывает все используемые поддомены.
• Подключён мониторинг, который сообщает о проблемах с сертификатом и доступностью.
• Известно, кто отвечает за сертификат: хостер, разработчик или вы сами.

Как настроить оповещения о сбоях, рассказано в статье мониторинг сайта. А если вы только выбираете сертификат, сравнение вариантов — в материале бесплатный или платный SSL.

Коротко

«Подключение не защищено» — это сбой проверки сертификата. Сначала выясните, видна ли ошибка всем или только на одном устройстве. Если всем — смотрите код ошибки и срок действия сертификата: чаще всего он истёк или выпущен не на тот адрес. Если только у одного человека — проверьте дату, антивирус и сеть. После исправления включите автопродление и мониторинг.

Если сейчас у вас горит такое предупреждение, а разбираться некогда — подключим и настроим SSL, чтобы сайт открывался без предупреждений и посетители не пугались. С автопродлением, чтобы история не повторилась.