ERR_SSL_PINNED_KEY_NOT_IN_CERT_CHAIN: решение

• Сайт сменил SSL-cert, старый HPKP pin ещё валиден
• Chrome static pin (встроенный в браузер) не совпадает
• Corporate proxy с MITM-cert не в pin-list
• Клиент взломал пин на предыдущем посещении
• HPKP header сломан на сервере (max-age слишком большой)

1. Перейдите на chrome://net-internals/#hsts → Delete domain → введите домен
2. Очистите TLS state: chrome://net-internals/#sockets → Flush sockets
3. Уберите HPKP header с сервера (он deprecated с 2018): Public-Key-Pins: max-age=0;
4. Для static pins (например google.com, facebook.com) — только обновление Chrome
5. Проверьте SSL через SSL-чекер — увидите актуальную цепочку

Проверить SSL-сертификат →

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256;
    ssl_prefer_server_ciphers off;

    ssl_stapling        on;
    ssl_stapling_verify on;
}

• NET::ERR_CERT_AUTHORITY_INVALID
• ERR_CERT_DATE_INVALID
• ERR_SSL_PROTOCOL_ERROR
• SSL Handshake Failed
• Все SSL-ошибки

Ошибка NET::ERR_SSL_PINNED_KEY_NOT_IN_CERT_CHAIN возникает, когда браузер не может установить безопасное соединение с сервером из-за проблем с сертификатом, который не соответствует ожидаемым ключам, заданным в механизме HTTP Public Key Pinning (HPKP). Это может произойти, если сертификат не содержит необходимый ключ или если его цепочка не включает доверенные корневые сертификаты.

Ошибка может возникнуть по нескольким причинам:

• Неверная конфигурация HPKP: Если сервер неправильно настроен для использования HPKP и не предоставляет правильные ключи, это приведет к ошибке.
• Истечение срока действия сертификата: Если один из сертификатов в цепочке истек, это также может вызвать проблемы с пиннингом.
• Изменение сертификата: Если сертификат был заменен, но старые ключи все еще пинятся, это приведет к ошибке.

Последствия включают невозможность доступа к сайту для пользователей и потенциальные проблемы с безопасностью, так как пиннинг ключей предназначен для защиты от атак типа man-in-the-middle.

Для устранения ошибки NET::ERR_SSL_PINNED_KEY_NOT_IN_CERT_CHAIN необходимо проверить конфигурацию HPKP на сервере. Вот пример настройки для Apache:

Header always set Public-Key-Pins "pin-sha256=<ваш_пин>; pin-sha256=<дополнительный_пин>; max-age=5184000; includeSubDomains"

Здесь важно заменить <ваш_пин> и <дополнительный_пин> на актуальные значения вашего сертификата. Чтобы получить пин, используйте команду:

openssl x509 -in ваш_сертификат.crt -noout -pubkey | openssl rsa -pubin -outform DER | openssl dgst -sha256 -binary | openssl base64

После внесения изменений, обязательно протестируйте конфигурацию с помощью инструмента SSL Labs для проверки корректности установки HPKP и цепочки сертификатов.