SSS
Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform

Türkçe

English

Türkçe

English

Görünüm

Orta

Tarayıcı "sertifika güvenilir değil" diyor; olası nedenler nelerdir? ​

Kısa cevap

En sık nedenler şunlardır: eksik ara sertifika zinciri, istemcinin tanımadığı iç CA, süresi dolmuş sertifika, alan adının sertifikayla eşleşmemesi (yanlış sertifikanın sunulması, SNI, wildcard kapsamı ya da IP ile erişim), kendinden imzalı sertifika, istemci saatinin yanlış olması ve araya giren TLS denetimi. TR7'de sertifikanın Chain sekmesi ve listedeki Valid Until sütunu eksik zinciri ve süresi dolmuş sertifikayı gösterir; tarayıcının hata kodu ve openssl s_client çıktısı hangisi olduğunu kesinleştirir.

Olası Nedenler ​

NedenBelirtiKontrol ve çözüm
Eksik ara sertifikaMasaüstü tarayıcıda açılıyor, mobilde ya da curl'de hataChain sekmesi turuncu Missing intermediate certificate gösterir; zincir tamamlanır (Intermediate certificate chain'i nasıl eklerim?)
İç CA ile imzalanmış sertifikaYalnızca kurum dışındaki ya da kök sertifikası yüklenmemiş cihazlarda hataKök CA sertifikası istemcilerin güven deposuna dağıtılır ya da internete açık site için genel bir CA'dan sertifika alınır
Süresi dolmuş sertifikaNET::ERR_CERT_DATE_INVALIDValid Until sütunundaki kırmızı daire ve Expiry Health filtresi; sertifika yenilenir (Sertifikayı yenilediğimde vService'lerde tek tek değiştirmem gerekir mi?)
Ad uyuşmazlığıNET::ERR_CERT_COMMON_NAME_INVALIDSunulan sertifikanın CN ve SAN değerleri kontrol edilir; SNI hiçbir sertifikayla eşleşmezse vService'in Certificate listesindeki ilk sertifika sunulur (Bir vService'e birden fazla sertifika bağlayabilir miyim; doğru sertifika nasıl seçilir (SNI)?)
Wildcard kapsamıa.b.example.com için ad hatasıWildcard yalnızca bir alt seviyeyi kapsar (Wildcard sertifika kullanabilir miyim?)
IP adresiyle erişimAd doğrulanamıyorSiteye sertifikadaki alan adıyla erişilir
Kendinden imzalı sertifikaNET::ERR_CERT_AUTHORITY_INVALID, "kendinden imzalı" uyarısıGüvenilir bir CA'dan sertifika alınır
İstemci saatiGeçerli sertifika "henüz geçerli değil" ya da "süresi dolmuş" görünüyorİstemcinin saati ve saat dilimi düzeltilir
TLS denetimi yapan proxy ya da antivirüsSertifikanın düzenleyicisi beklenen CA değilTarayıcıda sertifikanın Issuer değerine bakılır; denetim yapan ürünün kökü istemcide güvenilir olmalıdır

Teşhis Adımları ​

  1. Tarayıcının tam hata kodu alınır (adres çubuğundaki uyarıdan ya da hata sayfasındaki ayrıntılardan).

  2. Hangi sertifikanın ve zincirin sunulduğu kontrol edilir:

    text
    openssl s_client -connect 203.0.113.10:443 -servername www.example.com -showcerts </dev/null

  3. TR7'de Certificates & PKI → SSL/TLS Certificates ekranında sertifika satırına tıklanır; önizlemenin Details sekmesinde CN, DNS ve Cert. Validity, Chain sekmesinde zincirin durumu okunur.

  4. vService'in Certificate alanında doğru sertifikanın seçili olduğu ve sırası kontrol edilir.

  5. İnternete açık sitelerde SSL Labs raporu alınır.

Karıştırılan Hatalar ​

  • Sürüm ya da cipher uyumsuzluğu güven hatası değildir; tarayıcı ERR_SSL_VERSION_OR_CIPHER_MISMATCH gibi bir protokol hatası gösterir ve neden vService'teki TLS Security Profile ayarlarındadır.
  • vService'e sertifika seçilmemişse (ya da ACME sertifikası henüz alınmamışsa) şifreli frontend satırı TLS sonlandırmaz ve şifresiz dinler; tarayıcı güven hatası yerine ERR_SSL_PROTOCOL_ERROR gibi bir protokol hatası gösterir.

Dokümantasyonda nasıl yapılır

İlgili sorular