ERR_CERT_WEAK_SIGNATURE_ALGORITHM: устаревший SHA-1 или MD5

ERR_CERT_WEAK_SIGNATURE_ALGORITHM — SSL-сертификат подписан устаревшим алгоритмом (SHA-1, MD5, MD2). Chrome блокирует такие сертификаты с 2017 года. Решение: перевыпустить сертификат с SHA-256 или выше. Все современные CA (Let's Encrypt, DigiCert) выдают SHA-256 по умолчанию.

Ошибка может появиться в Chrome, Edge, Opera, Brave (все на Chromium) и частично в Firefox и Safari. Разные браузеры отображают один и тот же код по-разному — но суть одна.

1. Проверьте SSL-сертификат онлайн — чекер Enterno.io покажет грейд, срок действия, цепочку и конкретную причину.
2. Если проблема на стороне сервера — перевыпустите сертификат через certbot или выбранного CA.
3. Обновите nginx/apache конфигурацию (настройте TLS 1.2/1.3, fullchain, правильные ciphers).
4. Проверьте kernel OpenSSL — устаревший openssl < 1.1 может ломать handshake.
5. После деплоя: проверьте ещё раз через SSL-чекер + очистите browser SSL-cache.

Проверить SSL сейчас →

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• Mixed Content
• Проверить SSL-сертификат онлайн →

Ошибка ERR_CERT_WEAK_SIGNATURE_ALGORITHM указывает на использование слабого алгоритма подписи сертификата SSL/TLS, что может привести к уязвимостям в безопасности. Эта проблема возникает, когда сервер использует хэш-функции, такие как MD5 или SHA-1, которые больше не соответствуют современным стандартам безопасности. Для устранения этой ошибки необходимо перейти на более надежные алгоритмы, такие как SHA-256 или SHA-384. Обновление сертификата и конфигурации сервера – ключевые шаги для обеспечения безопасного соединения.

Для диагностики ошибки ERR_CERT_WEAK_SIGNATURE_ALGORITHM можно использовать команду openssl x509 -in your_certificate.crt -text -noout, которая покажет информацию о сертификате, включая используемый алгоритм подписи. Если вы видите, что используется SHA-1 или MD5, это сигнал о необходимости обновления сертификата.

Чтобы исправить эту ошибку, выполните следующие шаги:

1. Получите новый сертификат: Обратитесь к вашему поставщику сертификатов и запросите новый сертификат, который использует более безопасный алгоритм, например, SHA-256.
2. Обновите конфигурацию сервера: Убедитесь, что ваш веб-сервер настроен на использование нового сертификата. Для Apache это может выглядеть так:

SSLCertificateFile /path/to/your_new_certificate.crt
SSLCertificateKeyFile /path/to/your_private_key.key
SSLCertificateChainFile /path/to/your_chain_file.pem

1. Перезапустите сервер: После внесения изменений в конфигурацию сервера перезапустите его, чтобы применить новые настройки.

После выполнения этих шагов проверьте, исчезла ли ошибка, используя браузер или инструмент проверки SSL.

При выборе алгоритмов подписи для SSL-сертификатов важно учитывать современные стандарты безопасности. Рекомендуется использовать алгоритмы, которые соответствуют требованиям CA/Browser Forum и Web Trust.

Вот некоторые рекомендации:

• SHA-256: Это наиболее распространенный и безопасный алгоритм для современных сертификатов. Он обеспечивает достаточный уровень защиты и поддерживается всеми современными браузерами.
• SHA-384: Этот алгоритм используется в более строгих случаях, когда требуется повышенный уровень безопасности. Он обеспечивает большую длину хэша и подходит для организаций с высокими требованиями к безопасности.
• Избегайте устаревших алгоритмов: Не используйте MD5 и SHA-1, так как они подвержены атакам и не обеспечивают достаточной защиты.

Также стоит проверить, поддерживает ли ваш сервер выбранный алгоритм. Например, для Nginx вам нужно убедиться, что в конфигурации включены необходимые параметры:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'HIGH:!aNULL:!MD5';

Регулярно обновляйте сертификаты и следите за состоянием безопасности вашей веб-инфраструктуры, чтобы избежать появления ошибок, таких как ERR_CERT_WEAK_SIGNATURE_ALGORITHM.