ERR_SSL_KEY_USAGE_INCOMPATIBLE: исправление
ERR_SSL_KEY_USAGE_INCOMPATIBLE — сертификат не содержит TLS Web Server Authentication (OID 1.3.6.1.5.5.7.3.1) в extKeyUsage. Chrome считает такой cert не предназначенным для HTTPS. Причины: cert выпущен для S/MIME, code signing, client auth. Исправление: запросить у CA сертификат с правильным extKeyUsage или перевыпустить Let's Encrypt.
Эта ошибка блокирует HTTPS-доступ. Ниже: причины, исправление, рабочий конфиг, FAQ.
Причины ошибки
- Сертификат выпущен для S/MIME (email), не для TLS
- Code-signing cert ошибочно установлен на веб-сервер
- Client-authentication cert (mTLS) поставлен вместо server
- Корпоративный CA выдал только keyEncipherment без extKeyUsage
- Старый cert без extKeyUsage (современные браузеры требуют явно)
Пошаговое исправление
- Проверьте extKeyUsage:
openssl x509 -in cert.pem -text | grep -A1 "Extended Key Usage" - Должно быть:
TLS Web Server Authentication - Let's Encrypt всегда выдаёт cert с правильным serverAuth — перевыпустите
- Commercial CA: укажите при заказе "SSL Server Certificate", не "Code Signing"
- Проверьте SSL через SSL-чекер — увидите все extensions
Пример: правильная настройка TLS в nginx
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
ssl_prefer_server_ciphers off;
ssl_stapling on;
ssl_stapling_verify on;
}Смежные SSL-ошибки
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Гайды
Исследования
Часто задаваемые вопросы
Что такое extKeyUsage?
Extended Key Usage — X.509 extension, описывающий для каких целей cert предназначен: serverAuth, clientAuth, codeSigning, emailProtection. Browser проверяет наличие serverAuth для HTTPS.
Почему раньше работало, теперь нет?
Старые браузеры не проверяли extKeyUsage строго. Chrome 82+ требует serverAuth явно. Cert, работавший 5 лет назад, теперь блокируется.
Можно ли добавить extKeyUsage в существующий cert?
Нет — cert подписан CA. Изменение структуры инвалидирует подпись. Только перевыпуск.
Let's Encrypt точно подходит?
Да. Все ACME-cert выпускаются с <code>serverAuth,clientAuth</code> в extKeyUsage. Универсальный формат.