ERR_SSL_VERSION_OR_CIPHER_MISMATCH: старый протокол или нет сертификата

ERR_SSL_VERSION_OR_CIPHER_MISMATCH значит, что браузер и сервер не смогли договориться о защищённом соединении: не нашли общей версии протокола TLS или общего шифра. На экране Chrome пишет «Этот сайт не может обеспечить безопасное соединение», Яндекс Браузер — «На сайте используется неподдерживаемый протокол». Название ошибки обещает старый протокол, но в нашем замере это была причина лишь у двух сайтов из шести. У остальных на сервере просто не было сертификата для этого домена.

Срок SSL-сертификата и ответ своего сайта снаружи можно посмотреть проверкой доступности: наш сервер запрашивает страницу и показывает код ответа, время отклика и дату окончания сертификата.

Что означает ошибка: перевод и код

Дословно — «несовпадение версии SSL или шифра». В исходниках Chromium, на котором работают Chrome, Яндекс Браузер, Edge и Opera, это ошибка −113 с описанием «The client and server don't support a common SSL protocol version or cipher suite» — клиент и сервер не поддерживают общую версию протокола или набор шифров.

Важнее другое: какие ответы сервера браузер переводит в эту ошибку. В коде их шесть:

Последняя строка объясняет, почему ошибка так часто обманывает. Сервер, у которого нет сертификата для домена, обычно отвечает именно «handshake failure». Браузер не может отличить это от несовпадения шифров и пишет VERSION_OR_CIPHER_MISMATCH.

Стенд: какие настройки сервера вызывают ошибку

Мы подняли на своей машине сервер openssl с разными настройками и открыли каждый в Chromium 149:

Отсюда два практических вывода. TLS 1.0 и 1.1 браузер не принимает совсем, никакие настройки на компьютере пользователя это не изменят. И второе, менее известное: сервер на TLS 1.2, который предлагает только шифры с обменом DHE, тоже получает эту ошибку — Chromium такие шифры больше не поддерживает.

Наш замер: шесть сайтов с этой ошибкой

Мы обошли сайты из нашего списка организаций, у которых открыт порт 443, — 1704. 16 октября 2026 года защищённое соединение не установилось у 12, и шесть из них Chromium показал с ошибкой VERSION_OR_CIPHER_MISMATCH. Каждый мы разобрали через openssl.

Старый сервер. Два сайта стоят на одном IP-адресе. Сервер на запрос TLS 1.2 отвечает версией 1.0, из шифров предлагает AES256-SHA и DHE-RSA-AES256-SHA с ключом DH 1024 бита, современного обмена ECDHE нет. Сертификат самоподписанный, выпущен в 2016 году и истёк 8 октября 2026 года. Это классический случай «старого протокола»: такой сервер не откроется ни в одном современном браузере.

Нет сертификата. Четыре сервера рвут рукопожатие на любой версии TLS, от 1.0 до 1.3. Если подключиться без имени сайта, сервер отдаёт свой сертификат по умолчанию или чужой. Значит, протокол и шифры в порядке, а сертификата для этого домена на сервере нет. Один из сайтов при этом работает по http: его владелец, скорее всего, вообще не знает, что https сломан.

Другие серверы в той же ситуации прямо отвечают сигналом «имя не распознано» — тогда Chrome показывает ERR_SSL_UNRECOGNIZED_NAME_ALERT. Тот же сигнал отказа рукопожатия меняет смысл, если сервер перед этим запросил сертификат пользователя, а браузер его не отправил: тогда на экране будет ERR_BAD_SSL_CLIENT_AUTH_CERT.

Такой же результат был и в нашем разборе ERR_SSL_PROTOCOL_ERROR 25 сентября: там из пяти адресов с этой ошибкой ни один не был «старым TLS». Поэтому, прежде чем настраивать протоколы, стоит проверить, есть ли на сервере сертификат для вашего домена.

Причины ошибки

На стороне сервера — их большинство:

• нет действующего SSL-сертификата для домена: не выпущен, истёк, не перенесён при смене хостинга;
• сервер поддерживает только устаревшие версии TLS 1.0 и 1.1;
• в конфигурации оставлены только шифры, которые браузер не поддерживает: DHE, 3DES, RC4;
• домен направлен на CDN, например Cloudflare, а сертификат для него там не выпущен;
• сайт работает на российских алгоритмах ГОСТ.

Если шифр нашёлся, но поле keyUsage сертификата ему не подходит, Chrome покажет другую ошибку — ERR_SSL_KEY_USAGE_INCOMPATIBLE.

На стороне пользователя — реже:

• антивирус с проверкой HTTPS подменяет соединение и сам не может договориться с сервером;
• устаревшая операционная система или браузер, которые не получают обновлений;
• неправильные дата и время на компьютере;
• прокси или корпоративный фильтр, который перехватывает защищённые соединения.

Как исправить ошибку в браузере

Если сайт не открывается с вашего компьютера, но работает у других, выполните следующие шаги по порядку. Каждый способ ниже проверяет одну причину, и после каждого стоит снова попробовать переход на сайт.

1. Перезагрузите страницу и проверьте интернет-соединение. Если сайт недавно менял сертификат или IP-адрес, ошибка иногда проходит сама через некоторое время.
2. Откройте сайт в режиме инкогнито и в другом браузере. Работает — причина в расширениях или данных этого браузера.
3. Очистите кэш и cookies: нажмите Ctrl+Shift+Delete, выберите период «Всё время» и отметьте удаление файлов cookie и кэша. В Windows можно дополнительно очистить состояние SSL: «Свойства браузера» → вкладка «Содержание» → «Очистить SSL».
4. Временно отключите проверку HTTPS в антивирусе. В большинстве антивирусов она называется «проверка защищённых соединений». Если помогло, добавьте сайт в список исключений, а защиту включите обратно: оставлять её выключенной для всех сайтов небезопасно.
5. Проверьте дату и время на компьютере. Если значения неверны, измените их и проверьте, что включено «Устанавливать время автоматически».
6. Обновите браузер и систему. Устаревшие версии могут не знать современных шифров. На старых компьютерах обновите и корневые сертификаты через «Центр обновления Windows».
7. Проверьте прокси. «Параметры» → «Сеть и Интернет» → «Прокси» — отключите ручной прокси-сервер, если вы его не настраивали.

Совет «включите поддержку старых версий TLS в настройках» в современных Chrome и Яндекс Браузере не работает: такой настройки нет, и на нашем стенде TLS 1.0 и 1.1 браузер отверг в любом случае. Если сайт открывается только на старом протоколе, обойти это на своей стороне безопасно нельзя.

Ошибка на одном сайте или на всех

Первое решение, которое стоит принять, — где искать причину. Введите в адресную строку два-три известных сайта, например банк и поисковик.

• Ошибка возникла только на одном сайте — почти всегда проблема на стороне сервера. Из шести сайтов нашего замера все шесть не открывались ни с немецкого, ни с российского адреса, то есть дело было не в сети посетителя.
• Ошибка появляется на всех сайтах сразу — причина у вас: антивирус, программы родительского контроля, прокси, неверные дата и время или старая система.

Проверьте ту же страницу с другого устройства и в другой сети: перейдите с домашнего Wi-Fi на мобильный интернет. Если в мобильной сети сайт открывается, соединение блокируют роутер, фильтр провайдера или корпоративная сеть. Тогда помогает только администратор этой сети.

Старые компьютеры и телефоны

Сервер с современной настройкой принимает TLS 1.2 и 1.3. Устройства, которые их не знают, видят ту же ошибку на большинстве сайтов. Chrome перестал выходить для Windows 7 и 8.1 после версии 109, Яндекс Браузер тоже прекращает поддержку старых систем. На таком компьютере браузер постепенно отстаёт от сайтов, и решение одно — обновить систему или перейти на другое устройство. Включить устаревшие протоколы в самом браузере, как советуют старые инструкции, сегодня нельзя.

Госсайты и шифрование по ГОСТ

Часть государственных и банковских сайтов, например для закупок или работы с электронной подписью, использует российские алгоритмы шифрования ГОСТ. Обычный Chrome их не поддерживает, поэтому выдаёт ту же ошибку или «неподдерживаемый протокол».

Что делать:

• найти на самом сайте раздел с инструкцией по настройке рабочего места: там указано, какой браузер нужен;
• установить КриптоПро CSP и сертификаты, которые требует сайт;
• использовать браузер с поддержкой ГОСТ. Сам КриптоПро описывает Chromium-Gost как «техническую демонстрацию возможности встраивания ГОСТ в браузер» на основе Chromium, поэтому надёжнее тот браузер, который рекомендует служба поддержки сайта.

Как исправить на сервере

Если вы владелец сайта, ошибку видят все посетители, и поисковый робот тоже не может открыть https-версию.

1. Проверьте сертификат для домена. Команда openssl s_client -connect ваш-сайт.ru:443 -servername ваш-сайт.ru должна показать сертификат с вашим доменом и действующим сроком. Сбой рукопожатия на всех версиях TLS — признак того, что сертификата для этого имени нет. Выпустите SSL-сертификат, бесплатный Let's Encrypt подходит.

2. Проверьте версии TLS. Добавьте к той же команде -tls1_2, затем -tls1_3. Если рукопожатие проходит только с -tls1, сервер устарел.

3. Включите современные протоколы. В nginx:

   ssl_protocols TLSv1.2 TLSv1.3;
   

   В Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. После изменения конфигурации перезапустите веб-сервер.

4. Оставьте шифры с обменом ECDHE. Набор только из DHE, 3DES или RC4 браузер не примет: на нашем стенде сервер с одним DHE вызвал ту же ошибку, что и TLS 1.0. Правило простое — список шифров должен содержать актуальные наборы, а небезопасные лучше удалить. Проще всего взять готовую конфигурацию из генератора Mozilla SSL Configuration.

5. Проверьте CDN. Если домен идёт через Cloudflare или другой CDN, убедитесь, что сертификат для домена выпущен и в панели CDN. Если общих шифров нет у Cloudflare и вашего сервера, посетитель увидит не эту ошибку браузера, а ошибку 525.

6. Проверьте результат той же командой openssl, утилитой curl или с помощью онлайн-сервиса проверки SSL. Однако одной проверки главной недостаточно: если на домене существуют поддомены, проверьте работу каждого.

Что ошибка значит для сайта в поиске

Посетитель с ошибкой видит пустой экран без кнопки «Всё равно перейти»: в отличие от проблемы с датой сертификата, обойти её нельзя. Поисковый робот тоже не получает страницу по https. Если сайт давно переведён на https, он выпадает из выдачи постепенно, по мере повторного обхода.

Если вы посетитель, а не владелец

Напишите администратору сайта через форму на официальном сайте, почту или телефон из карточки организации на картах. Укажите адрес страницы, текст ошибки, браузер и время. Для владельца это сигнал проверить сертификат и настройки TLS — исправление занимает минуты, если сервер под его управлением.

Границы замера

• Chromium 149 на Linux. Шифры 3DES и RC4 на стенде проверить не удалось: в нашей сборке openssl их нет.
• Сайты проверяли из Германии, один прогон на сайт.
• Шесть сайтов — маленькая выборка: она показывает, что бывает, но не долю причин в интернете.

Коротко

• ERR_SSL_VERSION_OR_CIPHER_MISMATCH — браузер и сервер не договорились о версии TLS или шифре.
• Chromium отвергает TLS 1.0, TLS 1.1 и шифры с обменом DHE.
• Из шести сайтов с этой ошибкой старый TLS был у двух, у четырёх не было сертификата для домена.
• Посетителю — проверить антивирус, дату, браузер; на госсайтах — браузер с ГОСТ и КриптоПро CSP.
• Владельцу — проверить сертификат, включить TLS 1.2 и 1.3 и шифры ECDHE.