ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED: решение

• Смарт-карта / eToken заблокированы после неверного PIN
• Приватный ключ повреждён или удалён
• Chrome не видит клиентский сертификат в хранилище ОС
• Клиентский cert истёк
• Сервер требует cert от определённого CA, ваш — от другого
• CryptoPro/JaCarta драйверы устарели (RU случай)

1. Проверьте cert в ОС: Windows — certmgr.msc, macOS — Keychain, Linux — ~/.pki/nssdb
2. Смарт-карта: извлеките и вставьте заново, введите PIN внимательно
3. Переустановите сертификат из pfx/p12: File → Install Certificate
4. Обновите драйверы смарт-карты (CryptoPro, JaCarta, Rutoken)
5. Для теста: в Chrome зайдите в chrome://settings/certificates — увидите установленные
6. Мониторьте client-cert сервисы через Enterno Monitor

Проверить SSL-сертификат →

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_stapling        on;
    ssl_stapling_verify on;
}

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED возникает, когда клиентский сертификат не может быть проверен на сервере при установлении соединения mTLS (Mutual TLS). Это может быть вызвано неправильной конфигурацией сертификатов или их недействительностью. Для решения проблемы проверьте, что клиентский сертификат подписан доверенным центром сертификации (CA) и что он правильно установлен на клиентской стороне. Используйте команды openssl s_client -connect example.com:443 -cert client.crt -key client.key для диагностики.

Ошибка ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED может возникать по нескольким причинам, связанным с настройками и конфигурацией клиентского и серверного сертификатов. Рассмотрим более подробно основные причины и шаги по их устранению.

1. Неправильная подпись клиентского сертификата

Если клиентский сертификат был подписан центром сертификации, который не доверен серверу, это может привести к ошибке. Убедитесь, что сервер имеет доступ к цепочке сертификатов, включая корневой сертификат CA.

2. Несоответствие настроек mTLS

Проверьте, правильно ли настроены параметры mTLS на сервере. Например, в nginx необходимо убедиться, что директивы ssl_client_certificate и ssl_verify_client правильно указаны:

ssl_client_certificate /etc/ssl/certs/ca.crt;

ssl_verify_client on;

Если сервер не запрашивает клиентский сертификат, это также приведет к ошибке.

3. Проблемы с форматом сертификата

Убедитесь, что сертификаты находятся в правильном формате. Часто используются форматы PEM или DER. Для преобразования сертификатов в формат PEM можно использовать команду:

openssl x509 -in certificate.der -out certificate.pem -outform PEM

4. Время действия сертификата

Проверьте, не истек ли срок действия клиентского сертификата. Для этого используйте команду:

openssl x509 -in client.crt -noout -dates

Если срок действия истек, вам необходимо получить новый сертификат.

5. Неправильные права доступа к файлам сертификатов

Убедитесь, что файлы сертификатов и ключей имеют правильные права доступа. Сервер должен иметь возможность читать эти файлы. Например, для nginx это может быть:

chmod 600 /etc/ssl/private/client.key

6. Проверка конфигурации с помощью OpenSSL

Используйте openssl для проверки конфигурации SSL/TLS. Например, команда:

openssl s_client -connect example.com:443 -cert client.crt -key client.key

позволит вам увидеть, какие сертификаты были отправлены и какие ошибки могут возникнуть.

7. Логи сервера

Обратите внимание на логи вашего веб-сервера. Например, в nginx можно включить детализированные логи:

error_log /var/log/nginx/error.log debug;

Это поможет вам выявить конкретные причины возникновения ошибки.

Заключение

Ошибка ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED может быть устранена путем проверки и настройки сертификатов, а также конфигурации серверного окружения. Следуя описанным шагам, вы сможете диагностировать и исправить проблему, обеспечив корректную работу mTLS.