ERR_SSL_KEY_USAGE_INCOMPATIBLE: исправление

• Сертификат выпущен для S/MIME (email), не для TLS
• Code-signing cert ошибочно установлен на веб-сервер
• Client-authentication cert (mTLS) поставлен вместо server
• Корпоративный CA выдал только keyEncipherment без extKeyUsage
• Старый cert без extKeyUsage (современные браузеры требуют явно)

1. Проверьте extKeyUsage: openssl x509 -in cert.pem -text | grep -A1 "Extended Key Usage"
2. Должно быть: TLS Web Server Authentication
3. Let's Encrypt всегда выдаёт cert с правильным serverAuth — перевыпустите
4. Commercial CA: укажите при заказе "SSL Server Certificate", не "Code Signing"
5. Проверьте SSL через SSL-чекер — увидите все extensions

Проверить SSL-сертификат →

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_stapling        on;
    ssl_stapling_verify on;
}

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка ERR_SSL_KEY_USAGE_INCOMPATIBLE возникает, когда сертификат SSL не предназначен для аутентификации сервера. Это может произойти, если ключи сертификата не соответствуют требованиям, установленным в KeyUsage и ExtendedKeyUsage полях сертификата. Для правильной работы сертификат должен включать serverAuth в ExtendedKeyUsage.

Ошибка ERR_SSL_KEY_USAGE_INCOMPATIBLE может возникнуть по нескольким причинам:

• Неправильные настройки сертификата: Если сертификат, используемый на сервере, не поддерживает аутентификацию сервера.
• Использование самоподписанных сертификатов: Такие сертификаты не всегда имеют необходимые параметры.
• Ошибка при генерации CSR: Если запрос на сертификат (CSR) был создан с неверными параметрами.

Для исправления ошибки необходимо:

1. Проверить параметры сертификата с помощью команды:openssl x509 -in your_cert.crt -text -noout, убедившись, что в Extended Key Usage присутствует serverAuth.
2. Если сертификат не соответствует требованиям, необходимо сгенерировать новый CSR с правильными параметрами и получить новый сертификат.

Для исправления ошибки ERR_SSL_KEY_USAGE_INCOMPATIBLE вы можете использовать следующую последовательность действий:

1. Создайте новый конфигурационный файл OpenSSL, например openssl.cnf, с содержимым:

[ req ]
default_bits       = 2048
prompt             = no
distinguished_name = req_distinguished_name
req_extensions     = v3_req

[ req_distinguished_name ]
C  = RU
ST = Moscow
L  = Moscow
O  = Your Company
OU = Your Department
CN = yourdomain.com

[v3_req]
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth

1. Сгенерируйте новый сертификат с помощью следующей команды:

openssl req -new -x509 -days 365 -keyout your_private.key -out your_cert.crt -config openssl.cnf

1. Установите новый сертификат на ваш сервер и перезапустите службу. Например, для Nginx используйте:

sudo systemctl restart nginx

После выполнения этих шагов ошибка ERR_SSL_KEY_USAGE_INCOMPATIBLE должна быть устранена, и ваш сайт будет доступен по HTTPS.