„Nem biztonságos” figyelmeztetés és SSL-hiba: okok és megoldások

Az SSL-tanúsítvány és a lakat útmutató elmagyarázza, mit véd a https. Ez az írás a hibakeresésre szól: mit lát a böngészőben, és mit tegyen vele.

Először: mit lát pontosan?#

1. Az oldal http-n érhető el#

Ha nincs tanúsítvány, vagy nincs átirányítás, a böngésző a https nélküli oldalt „Nem biztonságosnak” jelöli, különösen, ha az oldalon űrlap van. Mit tegyen:

1. Győződjön meg róla, hogy a domainhez kiállított tanúsítvány van. A hostio-csomagokban a tanúsítvány ingyenes (Let's Encrypt), és akkor készül el, ha a domain a mi szerverünkre mutat: ha a DNS még máshová mutat, a tanúsítvány nem tud elkészülni. Lásd: DNS-alapok.
2. Állítson be átirányítást http-ről https-re (a legtöbb tárhely vezérlőpultján egy kapcsoló, WordPressnél a Beállítások → Általános alatt a két webcím https:// kezdetű legyen).
3. Cserélje le a belső hivatkozásokat https-re (4. pont).

2. Lejárt tanúsítvány (ERR_CERT_DATE_INVALID)#

Két lehetőség: a tanúsítvány tényleg lejárt, vagy az Ön eszközének órája téves.

• Az óra. Ellenőrizze a dátumot és az időt a gépen. Ha téves, a böngésző minden tanúsítványt lejártnak lát, nem csak az egyik oldalét.
• A tanúsítvány. A Let's Encrypt tanúsítványok 90 napig érvényesek, és az automatikus megújításuk akkor fut, ha a domain továbbra is a szerverre mutat. Ha a megújítás elmaradt (például a DNS módosult, vagy a domain lejárt), a tanúsítvány lejár. Lépjen be a tárhely vezérlőpultjába, nézze meg a tanúsítvány állapotát, és kérje újra, vagy kérjen segítséget a szolgáltatótól. Lásd: Domain lejárata.

3. A név nem egyezik (ERR_CERT_COMMON_NAME_INVALID)#

A tanúsítvány meghatározott nevekre szól. Gyakori esetek:

• A tanúsítvány a sajatdomain.hu névre szól, de a látogató a www.sajatdomain.hu-t (vagy fordítva) nyitotta meg, és az nincs benne. Állítson ki mindkét névre tanúsítványt, vagy irányítson át az egyikről a másikra.
• Az aldomain (például shop.sajatdomain.hu) nincs benne a tanúsítványban. Az aldomainnek is kell tanúsítvány, vagy joker (wildcard) tanúsítvány.
• A domain egy másik szolgáltató szerverére mutat, de az ottani tanúsítvány más névre szól. Ellenőrizze, hová mutat a DNS.

4. Vegyes tartalom (mixed content)#

Az oldal https-en nyílik, de egyes elemei (kép, szkript, stíluslap) http-s címről töltődnek. A böngésző ezeket blokkolja vagy figyelmeztet, a lakat pedig eltűnik.

1. Nyissa meg a böngésző fejlesztői eszközét (F12) → Console: a vegyes tartalom hibái ott felsorolják, melyik fájl a hibás.
2. WordPressnél a régi http:// hivatkozások az adatbázisban vannak (bejegyzések, beállítások). Cserélje át biztonságos módon: mentés után egy „keresés és csere” bővítménnyel, vagy a WordPress-eszközökkel. A sorosított adatok miatt sima SQL-cserét ne használjon.
3. A sablon vagy a bővítmény beégetett http-s címeit javítsa.

5. Önaláírt vagy ismeretlen kiadó (ERR_CERT_AUTHORITY_INVALID)#

Ha az oldal saját (önaláírt) tanúsítványt használ, vagy a tanúsítványlánc nem teljes (hiányzik a köztes tanúsítvány), a böngészők nem bíznak benne. Éles oldalon kérjen megbízható kiadótól tanúsítványt (a Let's Encrypt ingyenes), és ellenőrizze, hogy a szerver a teljes láncot küldi.

6. Átirányítási hurok (ERR_TOO_MANY_REDIRECTS)#

Tipikus ok: két beállítás egymás ellen dolgozik. Például a WordPress https-re irányít, míg egy közbeékelt szolgáltatás (CDN, proxy) a szerverrel http-n beszél, és a szerver visszairányítja https-re, így a kör bezárul. Ellenőrizze:

• hogy csak egy helyen van-e beállítva az átirányítás,
• hogy a CDN/proxy titkosított módban kapcsolódik-e a szerverhez,
• hogy a WordPress két webcíme (a beállításokban) egyezik-e a ténylegesen használt címmel,
• az .htaccess fájlban nincs-e kétszer ugyanaz az átirányítás.

Próbálja ki privát ablakban vagy a böngészősütik törlése után, mert egy régi, rossz átirányítás a böngészőben is gyorsítótárba kerülhet.

7. Ha csak az Ön gépén jelentkezik#

• Az óra (2. pont).
• Vírusirtó vagy cég hálózata, amely felbontja a titkosított forgalmat (HTTPS-vizsgálat), és saját tanúsítványt tesz be; ilyenkor több oldalon is hibát lát.
• Gyorsítótár. Töröljön gyorsítótárat és sütiket, vagy nyissa meg privát ablakban.
• DNS. Ha a domain nemrég költözött, a gépe még a régi szerverre juthat el, ahol a tanúsítvány más névre szól. Lásd: DNS-propagáció.

8. HSTS: óvatosan#

A HSTS fejléc arra utasítja a böngészőt, hogy a domainhez csak https-t használjon. Ha bekapcsolta, és később a tanúsítvány elromlik, a látogatók nem tudják átugrani a figyelmeztetést. Csak akkor kapcsolja be, ha az SSL stabilan működik; részletek: SSL-tanúsítvány és a lakat.

Gyakori kérdések#

A böngészőben a „Továbbmegyek” gombra kattinthatok?#

Saját oldalán a hiba kijavítása a megoldás, nem a figyelmeztetés átugrása. Idegen oldalon, különösen ha jelszót vagy kártyaadatot kérne, ne menjen tovább.

Mennyi idő, míg egy új tanúsítvány megjelenik?#

A kiadás általában percek alatt megtörténik, ha a domain már a megfelelő szerverre mutat. Ha a DNS-t most módosította, várjon a változás érvényesülésére (DNS-propagáció).

Kell-e fizetnem a tanúsítványért?#

A hostio-csomagokban az SSL-tanúsítvány ingyenes. Másutt is léteznek ingyenes megoldások (Let's Encrypt); a fizetős tanúsítványok főleg a szervezet ellenőrzésében és a támogatásban különböznek.

Források#

• Let's Encrypt: Tanúsítvány-élettartam (90 napos érvényesség)
• MDN: Vegyes tartalom (mixed content)
• web.dev: Mi a vegyes tartalom?