NET::ERR_CERT_VALIDITY_TOO_LONG: исправление

• Сертификат выпущен на 2+ года (старая практика до сентября 2020)
• Commercial CA выдал "extended validity" — обход ограничений
• Self-signed cert с days=10000 — типичная ошибка admins
• Legacy сертификат перевыпущен со старыми параметрами
• Firewall/proxy подменил сертификат с длинной валидностью

1. Перевыпустите сертификат: certbot renew --force-renewal
2. Для self-signed: openssl req -x509 -days 365 (не 3650!)
3. У commercial CA попросите 1-year cert — 2-year снят с продаж с 2020
4. Проверьте actual validity через SSL-чекер — Not Before → Not After
5. Корпоративный proxy: исключите ваш домен из SSL-inspection

Проверить SSL-сертификат →

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_stapling        on;
    ssl_stapling_verify on;
}

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка ERR_CERT_VALIDITY_TOO_LONG возникает, когда SSL-сертификат вашего сайта имеет срок действия более 398 дней. Это ограничение было введено в 2020 году, чтобы повысить безопасность веб-сайтов и уменьшить вероятность использования устаревших сертификатов. Если вы видите эту ошибку, необходимо обновить сертификат, чтобы он соответствовал современным стандартам.

Существует несколько причин, по которым вы можете столкнуться с ошибкой ERR_CERT_VALIDITY_TOO_LONG:

• Использование устаревших сертификатов: Некоторые организации по-прежнему используют сертификаты с долгим сроком действия, что является нарушением современных стандартов.
• Неправильная конфигурация сервера: Если ваш сервер настроен на использование сертификатов, срок действия которых превышает 398 дней, это приведет к возникновению ошибки.
• Необновленные настройки CA: Если ваш центр сертификации (CA) не обновил свои политики, это также может быть причиной проблемы.

Помимо этого, важно помнить, что использование коротких сертификатов (например, на 90 дней) может повысить безопасность вашего сайта, так как позволяет чаще обновлять ключи.

Для устранения ошибки ERR_CERT_VALIDITY_TOO_LONG вам необходимо заменить текущий сертификат на новый, срок действия которого не превышает 398 дней. Вот пошаговая инструкция по исправлению ошибки:

1. Проверьте текущий сертификат: Используйте команду openssl x509 -in /path/to/your/certificate.crt -noout -text, чтобы получить информацию о сроке действия сертификата.
2. Выберите центр сертификации: Выберите CA, который предоставляет сертификаты с коротким сроком действия. Например, Let's Encrypt предлагает бесплатные сертификаты сроком на 90 дней.
3. Создайте новый запрос: Используйте команду openssl req -new -key your_private_key.key -out your_request.csr для создания нового запроса на сертификат.
4. Получите новый сертификат: Отправьте запрос в выбранный CA и получите новый сертификат.
5. Установите новый сертификат: Замените старый сертификат на новый в конфигурации вашего веб-сервера. Например, для Apache это может выглядеть так:

SSLCertificateFile /path/to/your/new_certificate.crt
SSLCertificateKeyFile /path/to/your/private_key.key

Перезапустите веб-сервер: После установки нового сертификата не забудьте перезапустить ваш веб-сервер, чтобы изменения вступили в силу. Например, для Apache используйте команду sudo systemctl restart apache2.

После выполнения всех шагов проверьте, исчезла ли ошибка, используя инструменты для проверки SSL, такие как SSL Labs.