«Подключение не защищено» — это предупреждение браузера о том, что он не смог проверить SSL-сертификат сайта: срок действия истёк, издатель неизвестен, имя в сертификате не совпадает с адресом или соединение перехватывает посредник. Чаще всего виноваты неверные дата и время на устройстве, антивирус с проверкой HTTPS или ошибка настройки на стороне сайта. Точную причину называет код под сообщением.
Что значит «Ваше подключение не защищено»
Когда вы открываете адрес с https://, сервер предъявляет сертификат — электронный документ, в котором записаны имя домена, срок действия и удостоверяющий центр (УЦ), подписавший его. Браузер проверяет три вещи: подпись ведёт к корневому сертификату из доверенного хранилища, текущая дата попадает в срок действия, а адрес в строке совпадает с одним из имён в сертификате. Если хотя бы одна проверка не проходит, браузер не загружает страницу и показывает полноэкранное предупреждение.
В Chrome оно звучит так: «Ваше подключение не защищено. Злоумышленники могут пытаться похитить ваши данные с сайта example.com (например, пароли, сообщения или номера банковских карт)». Фраза про злоумышленников — шаблон, а не диагноз. Браузер не знает, атакуют вас или администратор просто забыл продлить сертификат: он знает только, что не может подтвердить подлинность сервера. Поэтому на такой странице нельзя вводить пароли и данные карт, пока причина не выяснена, но и паниковать не стоит — в большинстве случаев всё объясняется бытовой причиной.
Как сообщение выглядит в разных браузерах
- Chrome, Edge, Opera (движок Chromium): предупреждение из примера выше, под текстом — код вида
NET::ERR_CERT_DATE_INVALID. - Яндекс Браузер: тоже построен на Chromium, коды ошибок те же; дополнительно у него есть собственная защита от недоверенных сертификатов, подробности — в справке Яндекс Браузера.
- Safari на iPhone и Mac: «Это подключение не защищено», коды не показываются, подробности скрыты за кнопкой «Показать подробности».
- Firefox: «Предупреждение: вероятная угроза безопасности», код ошибки — после нажатия «Дополнительно», например
SEC_ERROR_UNKNOWN_ISSUER.
Не путайте полноэкранное предупреждение с пометкой «Не защищено» слева от адреса. Пометка означает, что сайт открыт по обычному HTTP без шифрования: страница загружается, но всё, что вы вводите, передаётся открытым текстом.
Почему пишет «Подключение не защищено»: код ошибки подскажет причину
Код — самая полезная часть страницы. В Chrome и Яндекс Браузере он напечатан мелким шрифтом под основным текстом; если его не видно, нажмите «Дополнительные». Нажатие на сам код раскрывает технические детали сертификата. Сверьтесь с таблицей: она сразу показывает, чья это проблема — ваша или сайта.
| Код ошибки | Что означает | Где обычно причина |
|---|---|---|
NET::ERR_CERT_DATE_INVALID, SEC_ERROR_EXPIRED_CERTIFICATE | Сертификат просрочен или ещё не начал действовать с точки зрения часов устройства. Разбор: просроченный SSL-сертификат | Сайт (не продлён) или устройство (неверная дата) |
NET::ERR_CERT_AUTHORITY_INVALID, SEC_ERROR_UNKNOWN_ISSUER | Издатель сертификата неизвестен браузеру: самоподписанный сертификат, неполная цепочка, российский УЦ, антивирус или прокси. Разбор: ERR_CERT_AUTHORITY_INVALID | Чаще сайт; на стороне пользователя — антивирус, корпоративная сеть |
NET::ERR_CERT_COMMON_NAME_INVALID, SSL_ERROR_BAD_CERT_DOMAIN | Сертификат выпущен на другое имя: например, на example.com, а открыт www.example.com | Сайт; иногда подмена DNS или страница авторизации Wi-Fi |
NET::ERR_CERT_REVOKED | УЦ отозвал сертификат досрочно | Сайт |
MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT | Сертификат подписан сам собой, без УЦ | Сайт, роутер, внутренняя панель |
NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM | Сертификат подписан устаревшим алгоритмом (например, SHA-1) | Сайт |
Ошибки ERR_SSL_PROTOCOL_ERROR и ERR_SSL_VERSION_OR_CIPHER_MISMATCH выглядят иначе: Chrome пишет «Не удаётся установить безопасное соединение с сайтом». Это сбой самого TLS-рукопожатия, а не проверки сертификата, и чинится он по-другому.
Что делать, если ошибка на вашей стороне
Прежде чем что-то менять, выполните простой тест: откройте тот же сайт с телефона через мобильный интернет. Если там всё работает — причина в вашем компьютере или сети. Если ошибка везде — проблема на сайте, и исправить её может только его владелец.
| Что вы видите | Вероятная причина |
|---|---|
| Ошибка на всех HTTPS-сайтах, включая крупные | Неверные дата и время, антивирус, корпоративный прокси |
| Ошибка только в одной Wi-Fi-сети (кафе, гостиница, поезд) | Страница авторизации сети перехватывает запросы |
| Ошибка только на одном компьютере, телефон открывает сайт | Время, антивирус, устаревшая система без свежих корневых сертификатов |
| Ошибка только на сайтах банков и госсервисов | Не установлен корневой сертификат российского УЦ |
| Ошибка на всех устройствах и в любой сети | Проблема сертификата на стороне сайта |
1. Проверьте дату, время и часовой пояс
Сертификат действителен в строгом интервале дат. Если часы компьютера ушли на год назад (так бывает после замены батарейки BIOS), для браузера все сертификаты «ещё не наступили». Chrome в таком случае часто пишет прямо: «Часы отстают» или «Часы спешат».
- Windows 10 и 11: «Параметры» → «Время и язык» → «Дата и время», включите «Установить время автоматически» и нажмите «Синхронизировать». Из командной строки администратора:
w32tm /resync, проверить состояние —w32tm /query /status. - macOS: «Системные настройки» → «Основные» → «Дата и время», включите автоматическую установку.
- Linux:
timedatectl statusпокажет, синхронизируются ли часы; включить синхронизацию —sudo timedatectl set-ntp true. - Android: «Настройки» → «Система» → «Дата и время» → «Автоматически» (названия пунктов зависят от оболочки).
- iPhone: «Настройки» → «Основные» → «Дата и время» → «Автоматически».
2. Публичный Wi-Fi со страницей авторизации
В кафе, аэропортах, поездах и гостиницах сеть сначала показывает страницу входа — по номеру телефона или коду из SMS. Пока вы не авторизовались, роутер перехватывает все запросы и отвечает от своего имени. Для HTTPS-сайта это выглядит как чужой сертификат, отсюда ERR_CERT_COMMON_NAME_INVALID или ERR_CERT_AUTHORITY_INVALID. Решение — открыть любой адрес без HTTPS (например, http://neverssl.com), дождаться страницы входа сети и авторизоваться. После этого ошибка исчезнет. Если страницы входа нет, а ошибки продолжаются, в этой сети лучше не вводить пароли: подмену трафика исключить нельзя.
3. Антивирус или корпоративный прокси с проверкой HTTPS
Многие антивирусы и корпоративные шлюзы расшифровывают HTTPS-трафик, чтобы проверить его на угрозы. Для этого они подставляют собственный сертификат и устанавливают свой корень в систему. Если корень установился не во все хранилища (например, Firefox использует своё) или антивирус устарел, браузер видит неизвестного издателя.
Как проверить: нажмите на код ошибки или «Сертификат недействителен» и посмотрите поле «Кем выдан». Если там название антивируса или вашей компании, а не публичного УЦ, причина найдена. Временно отключите в антивирусе проверку защищённых соединений (в Kaspersky она называется проверкой защищённых соединений, в ESET — фильтрацией протокола SSL/TLS) и обновите страницу. На рабочем компьютере с корпоративным прокси обратитесь к администратору — отключать такую проверку самостоятельно не стоит.
4. Сайт банка или госсервиса: корневой сертификат Минцифры
Часть российских сервисов, включая банки, использует сертификаты Национального удостоверяющего центра (Russian Trusted Root CA). Chrome, Edge и Firefox этому УЦ по умолчанию не доверяют, поэтому на таких сайтах — в том числе когда пишут «Сбербанк: подключение не защищено» — появляется ERR_CERT_AUTHORITY_INVALID. Яндекс Браузер и браузер Атом доверяют этому корню из коробки. Второй вариант — установить корневой сертификат в систему; пошагово это описано в статье о сертификате Минцифры. Скачивайте его только с официального портала Госуслуг, а не из ссылок в мессенджерах.
5. Устаревшая система и расширения
Устройства, которые давно не получали обновлений (старые Android, Windows 7), не знают новых корневых сертификатов и начинают отвергать сайты, которые открываются везде. Помогает обновление системы или браузера со своим хранилищем корней, например Firefox. Если ошибка появилась после установки расширения, откройте сайт в режиме инкогнито, где расширения по умолчанию выключены. Очистка кэша и cookies на ошибки сертификата почти никогда не влияет: браузер проверяет сертификат заново при каждом подключении.
Как убрать «Подключение не защищено» на своём сайте
Если ошибку видят все посетители, исправлять нужно на сервере. Перечислим причины в порядке частоты.
Сертификат истёк
Самый частый случай — сломалось автопродление Let's Encrypt: сменили веб-сервер, закрыли порт 80, перенесли DNS. Проверьте срок командой:
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuerСтрока notAfter — дата окончания. Если сертификат просрочен, выпустите новый и перезагрузите веб-сервер: sudo certbot renew, затем sudo systemctl reload nginx.
Неполная цепочка сертификатов
Сервер должен отдавать не только сертификат сайта, но и промежуточный сертификат УЦ. Если промежуточного нет, Chrome на компьютере иногда достраивает цепочку сам и сайт открывается, а на Android и в сторонних клиентах появляется ошибка. Отсюда жалобы «у меня работает, у клиентов нет». В nginx в ssl_certificate указывайте fullchain.pem, а не cert.pem. Подробная диагностика — в статье о неполной цепочке сертификатов.
Имя домена не совпадает с сертификатом
Сертификат выпущен на example.com, а редирект ведёт на www.example.com, или новый поддомен не добавили в список имён. Посмотреть, на какие имена выпущен сертификат:
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -ext subjectAltNameКлюч -ext работает в OpenSSL 1.1.1 и новее. Если нужного имени нет, перевыпустите сертификат, указав все варианты домена.
Сервер отдаёт сертификат по умолчанию
На сервере с несколькими сайтами браузер сообщает нужное имя через SNI. Если для домена нет своего блока server с listen 443 ssl, отвечает первый сайт в конфигурации — с чужим или самоподписанным сертификатом. Так же ведёт себя конструктор или CDN, пока сертификат для только что подключённого домена ещё не выпущен.
Нет HTTPS или смешанное содержимое
Сайт без сертификата вообще не вызывает полноэкранной ошибки — браузер просто пишет «Не защищено» у адреса. Если сертификат есть, но страница подгружает картинки или скрипты по http://, замок пропадает или сменяется предупреждением. Это смешанное содержимое, и его разбор — в статье про mixed content.
Как зайти на сайт с незащищённым подключением и стоит ли это делать
Chromium-браузеры позволяют пройти предупреждение: «Дополнительные» → «Перейти на сайт example.com (небезопасно)». В Safari — «Показать подробности» → «посетить этот веб-сайт», в Firefox — «Дополнительно» → «Принять риск и продолжить». Это отключает проверку только для данного сайта и только на время сеанса, но шифрование при этом не гарантирует, что вы общаетесь с настоящим сервером.
Продолжать допустимо, если вы точно знаете, куда подключаетесь: свой роутер, внутренняя админка с самоподписанным сертификатом, тестовый стенд. Недопустимо — на сайтах банков, почты, соцсетей, магазинов и госуслуг: именно там подмена сертификата используется для кражи паролей. Если кнопки «Перейти на сайт» нет, сайт включил HSTS — он заранее запретил браузеру открывать себя без действительного сертификата. Это защитная мера, и обходить её не нужно: дождитесь, пока владелец починит сертификат, или устраните причину на своей стороне.
Что означает значок замка в строке браузера
Замок означает только одно: соединение зашифровано, а сертификат выдан на этот домен доверенным УЦ. Он не говорит о том, что сайт честный: фишинговый сайт тоже может получить бесплатный сертификат на свой похожий домен. Поэтому проверяйте сам адрес, а не только значок. В Chrome начиная с версии 117 замок заменён значком настроек, но смысл тот же — нажатие на него показывает, защищено ли подключение и кто выдал сертификат (см. справку Chrome). Перечёркнутый замок или надпись «Не защищено» означают, что шифрования нет либо страница загружает часть ресурсов по HTTP.
Как проверить сертификат сайта
Чтобы понять, чья проблема, посмотрите на сертификат со стороны, из другой сети. Инструмент проверки SSL-сертификата покажет срок действия, издателя, список имён, полноту цепочки и поддерживаемые версии TLS: если там всё в порядке, а у вас ошибка, ищите причину на своём устройстве. Если сертификат в порядке, но пропадает замок, проверьте HTTP-заголовки и редиректы — там видно, не уводит ли сайт на HTTP-адрес. Для командной строки подойдёт curl -vI https://example.com: в выводе видны строки expire date, issuer и итог проверки SSL certificate verify ok. Формат и правила проверки сертификатов описаны в RFC 5280.
Частые вопросы
Почему ошибка сертификата только на одном сайте?
Скорее всего, проблема у самого сайта: истёк сертификат, не передан промежуточный сертификат или адрес не входит в список имён. Проверьте сайт с другого устройства и через инструмент проверки SSL. Если ошибка только на сайтах банков, установите корневой сертификат Минцифры или используйте браузер, который ему доверяет.
Опасно ли нажимать «Перейти на сайт (небезопасно)»?
Для своего роутера или тестового сервера — нет. Для любого сайта, где вводят пароли и платёжные данные, — да: вы не сможете отличить сбой настройки от подмены сервера.
Что делать, если ошибка появляется на айфоне?
Включите автоматическую установку даты и времени, переподключитесь к Wi-Fi и пройдите страницу авторизации сети, если она есть. Проверьте, не установлен ли профиль VPN или фильтра контента: «Настройки» → «Основные» → «VPN и управление устройством».
Почему ошибка появилась у всех сайтов сразу?
Почти всегда это сбитые часы, антивирус с проверкой HTTPS или перехват трафика в текущей сети. Проверьте дату и время, затем посмотрите в деталях ошибки, кто выдал сертификат.
