ERR_SSL_BAD_HANDSHAKE_HASH_VALUE
ERR_SSL_BAD_HANDSHAKE_HASH_VALUE — клиент обнаружил несоответствие hash в TLS handshake. Может быть MITM-атакой или порчей пакетов на пути. Чаще: legacy cipher suite с SHA-1 (deprecated с 2020), глючный proxy/firewall, VPN перекрывает TLS frames. Исправление: modern ciphers + TLS 1.2/1.3 + исключить proxy.
Ниже: причины, исправление, FAQ.
Причины ошибки
- Legacy cipher с SHA-1 signature (Chrome rejects)
- Proxy/firewall corrupt TLS frames
- VPN (OpenVPN/WireGuard) MTU issue → fragmentation corrupts hash
- MITM proxy с TLS-inspection broke handshake
- Antivirus с HTTPS-scanning modify данные
Пошаговое исправление
- nginx:
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256; - Отключите antivirus TLS-inspection temporarily
- Test из другой сети (mobile hotspot) — ISP proxy?
- VPN — проверьте MTU: ping -M do -s 1400
- Enterno SSL для cipher audit
Смежные SSL-ошибки
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
MITM реально?
Возможно. Если error появляется только из определённой сети — проверьте proxy/firewall там.
Как safely test?
Из mobile hotspot или VPN-exit в другой стране. Если там работает — проблема в local network.
SHA-1 всё ещё доступен?
Для cert signatures — нет (Chrome blocks с 2017). Для HMAC в handshake — legacy accepted, но not preferred.
Permanent fix?
Modern TLS config (1.2+1.3, GCM ciphers). Большинство browsers работают.