NET::ERR_CERT_AUTHORITY_INVALID значит, что браузер не доверяет тому, кто выпустил сертификат сайта. Соединение зашифровано, но подтвердить, что на другом конце нужный сервер, браузер не может. Chrome показывает «Подключение не защищено» и пишет: «Операционная система компьютера не доверяет его сертификату безопасности». Мы проверили на стенде, какие цепочки сертификатов вызывают ошибку, и разобрали живые сайты, где она есть сегодня.
Срок SSL-сертификата и ответ своего сайта снаружи можно посмотреть проверкой доступности: наш сервер запрашивает страницу и показывает код ответа, время отклика и дату окончания сертификата.
Что означает ошибка
Дословно — «недействительный центр сертификации». Сертификат сайта подписывает центр сертификации (CA), обычно через промежуточный сертификат. Браузер идёт по цепочке вверх: сертификат сайта → промежуточный → корневой. Корневые сертификаты хранятся в браузере или в системе. Если цепочка не доходит до одного из них, появляется эта ошибка.
Полный текст предупреждения в Chromium 149 на русском:
Не удалось подтвердить, что это сервер 127.0.0.1. Операционная система компьютера не доверяет его сертификату безопасности. Возможно, сервер настроен неправильно или кто-то пытается перехватить ваши данные.
Ниже — кнопка «Перейти на сайт (небезопасно)». Это та же заглушка, что и при других ошибках сертификата: отличается только код под заголовком.
Как посмотреть, кто выдал сертификат
Диагностика начинается с одного действия: узнать издателя. В Chrome нажмите на значок «Не защищено» слева от адреса, выберите раздел «Сертификат недействителен» — откроется окно с полями «Кому выдан» и «Кем выдан». Во вкладке «Подробнее» видна вся цепочка.
По полю «Кем выдан» причину обычно понятно сразу:
- то же имя, что и «Кому выдан» — самоподписанный сертификат;
- название антивируса или фильтра — соединение проверяет программа на вашем компьютере;
- Russian Trusted Sub CA — сертификат Минцифры;
- известный центр (Let's Encrypt, GlobalSign, Sectigo), а ошибка всё равно есть — сервер отдаёт неполную или устаревшую цепочку.
Так же отличают сертификат Минцифры от подмены: у настоящего издатель — Russian Trusted Sub CA, а корень — Russian Trusted Root CA. Если в цепочке стоит что-то третье, это не российский сертификат, и устанавливать ничего не нужно.
Стенд: какие цепочки вызывают ошибку
Мы выпустили свой корневой и промежуточный сертификаты и подняли семь серверов с разными цепочками. Chromium открывал каждый дважды: с пустым хранилищем и с нашим корнем в доверенных.
| Что отдаёт сервер | Корень не доверен | Корень доверен |
|---|---|---|
| Самоподписанный сертификат | AUTHORITY_INVALID | AUTHORITY_INVALID |
| Сертификат, подписанный корнем | та же ошибка | открылось |
| Без промежуточного звена | та же ошибка | та же ошибка |
| Полная цепочка | та же ошибка | открылось |
| Без промежуточного, но с адресом AIA | та же ошибка | открылось |
| Просроченный, от корня | та же ошибка | DATE_INVALID |
| Просроченный самоподписанный | та же ошибка | AUTHORITY_INVALID |
Три вывода из стенда:
- Самоподписанный сертификат не спасает ничто, кроме добавления именно его в доверенные.
- Неполная цепочка ломает сайт даже при доверенном корне. Но если в сертификате указан адрес AIA (Authority Information Access), Chromium сам скачивает промежуточный сертификат: в журнале нашего сервера видно этот запрос. Поэтому сайт с неполной цепочкой может работать в Chrome и не работать в других программах.
- Ошибка издателя перекрывает просрочку. Просроченный сертификат от неизвестного центра браузер показывает как AUTHORITY_INVALID, а не как ошибку даты.
Наш замер: 26 сайтов с этой ошибкой
16 октября 2026 года мы проверили цепочку сертификатов у сайтов из нашего списка организаций, которые отвечают по https, — 1676. Цепочку не приняли у 49, Chromium подтвердил NET::ERR_CERT_AUTHORITY_INVALID у 26. Ещё 17 показали ошибку даты.
| Что стоит на сервере | Сайтов |
|---|---|
| Заглушка хостинга или панели управления | 12 |
| Цепочка оборвана или ведёт к удалённому корню | 7 |
| Самодельный сертификат владельца | 4 |
| Сертификат Минцифры | 3 |
Подробнее по группам:
- Заглушки. Хостинг или панель ставит свой самоподписанный сертификат, пока владелец не выпустил настоящий: «test-self-signed» у одного хостинга, «*.from.sh» у другого, Hestia, ISPManager, стандартный «Internet Widgits Pty Ltd» из openssl. Сайт по сути не настроен.
- Цепочка. Четыре поддомена одного городского портала отдают сертификат, который истёк 2 апреля 2020 года, с цепочкой до корня DST Root CA X3, срок которого закончился в 2021-м. Ещё один сайт отдаёт браузеру Cloudflare Origin Certificate — его выпускают для связи Cloudflare с сервером, браузеры ему не доверяют. Один сервер не передаёт промежуточный сертификат.
- Самодельные. Владелец сам сгенерировал сертификат на сервере.
- Минцифры. Две страховые компании и региональный центр информационных технологий.
Обратный случай тоже нашёлся: у одного сайта сертификат от нового корня Let's Encrypt. Python на нашем сервере Debian его не знает и цепочку не принял, а Chromium сайт открыл. Старое устройство с устаревшим хранилищем корней увидит на таком сайте ту же ошибку.
Причины ошибки
На стороне сервера:
- самоподписанный сертификат или заглушка хостинга;
- сервер не отдаёт промежуточный сертификат;
- сертификат выпущен центром, которого нет в хранилищах браузеров, например российским центром Минцифры;
- сертификат истёк и выпущен по старой цепочке;
- на сервере стоит сертификат, предназначенный для CDN.
На стороне пользователя:
- антивирус или программа родительского контроля проверяет HTTPS и подставляет свой сертификат;
- корпоративный прокси перехватывает защищённые соединения;
- в системе устаревшее хранилище корневых сертификатов;
- неверные дата и время на устройстве.
Сертификаты Минцифры
Часть российских сайтов использует сертификаты, выпущенные Национальным удостоверяющим центром Минцифры. Корневой сертификат — Russian Trusted Root CA, действует до 27 февраля 2032 года. Мы скачали его с сайта gu-st.ru, который ведут Госуслуги, и добавили в хранилище Chromium. Результат:
- alfastrah.ru открылся;
- mcrd.nobl.ru открылся, хотя сервер отдаёт только свой сертификат: промежуточный браузер скачал сам по адресу AIA;
- sogaz.ru выдал другую ошибку — ERR_CERT_COMMON_NAME_INVALID:
сертификат выпущен на
*.sogaz.ru, а адрес без www в него не входит.
Как установить корневой сертификат в Windows: скачайте файл с портала Госуслуг, откройте его, нажмите «Установить сертификат» и выберите хранилище «Доверенные корневые центры сертификации». Затем перезапустите браузер.
Учтите риск: добавленный корень получает право подтверждать любой сайт. Ставьте только файл с официального сайта и проверьте его отпечаток. Если российские сайты нужны редко, проще открывать их в отдельном браузере, который им доверяет.
Как исправить ошибку посетителю
Ошибка может возникать по разным причинам, поэтому выполните следующие шаги по порядку и после каждого снова попробуйте открыть страницу.
- Определите, связана ли проблема с конкретным устройством. Откройте ту же страницу с телефона через мобильный интернет. Если ошибка есть и там, она полностью на стороне сервера: ниже ничего не поможет, можете только связаться с администратором ресурса или его поддержкой.
- Убедитесь, что дата и время верные. Перейдите в настройки системы и включите автоматическую установку времени.
- Проверьте антивирус. Некоторые антивирусы проверяют защищённые соединения и подставляют свой сертификат. Если программа блокирует доверие к сайту, отключите в ней «проверку HTTPS» на минуту. Помогло — добавьте адрес в исключения и включите защиту обратно.
- Откройте страницу в режиме инкогнито и отключите расширения: особенно VPN и блокировщики, поскольку они тоже могут вмешиваться в соединение.
- Очистите кэш и cookies: Ctrl+Shift+Delete, «Всё время». Пароли и данные форм при этом можно сохранить — снимите с них отметку.
- Обновите браузер и систему. С новыми версиями приходят новые корневые центры, без которых часть адресов не открывается.
- Для российских ресурсов установите корень Минцифры, как описано выше, а завершив установку, перезапустите браузер.
Если ошибка появляется при открытии многих ресурсов сразу, а не одного, причина почти всегда на вашем устройстве: антивирус, корпоративный прокси или приложение родительского контроля. В случае рабочего компьютера обратитесь к администратору сети.
Можно ли нажать «Перейти на сайт»
Нажав кнопку на заглушке, вы откроете страницу, но браузер так и не подтвердил, с каким сервером вы говорите. Перед переходом важно понять, чей это домен. Для своего роутера или тестового стенда продолжить допустимо. Ввод паролей, данных карты или паспорта на такой странице исключён: именно так выглядит перехват соединения, и по умолчанию лучше считать, что это он.
Самоподписанный сертификат для своей сети
Для роутера, принтера, тестового стенда или закрытого внутреннего сервиса покупать сертификат не обязательно. Правильный способ — создать свой корневой центр, выпустить им сертификаты и установить корень на нескольких рабочих компьютерах в «Доверенные корневые центры сертификации». Именно так устроен наш стенд: после установки корня браузер открыл все серверы с правильной цепочкой. Добавлять в доверенные чужие корни из случайных инструкций нельзя: они получают право подтверждать любой адрес.
Выпуская такой сертификат для RSA-ключа, укажите в нём назначение ключа Digital Signature. Без него Chrome откажет даже при доверенном корне — с ошибкой ERR_SSL_KEY_USAGE_INCOMPATIBLE.
Как исправить владельцу сайта
Основные причины на сервере — заглушка, неполная цепочка и неподходящий издатель. Каждая исправляется за несколько минут.
-
Посмотрите, что отдаёт сервер. Введите в терминале:
openssl s_client -connect ваш-сайт.ru:443 -servername ваш-сайт.ru -showcertsСтроки
s:иi:показывают, кому выдан каждый сертификат цепочки и кто его подписал. Одна строкаs:, а издатель — промежуточный центр: значит, цепочка неполная. -
Замените заглушку на настоящий сертификат. Let's Encrypt выдаёт его бесплатно, в панели хостинга это обычно одна кнопка. Подробнее — в статье про SSL-сертификат сайта.
-
Отдавайте полную цепочку. Конфигурация nginx: директива
ssl_certificateдолжна указывать на файлfullchain.pem, а не наcert.pem. Оба файла certbot кладёт рядом. После правки перезапустите веб-сервер. -
Не ставьте Cloudflare Origin Certificate напрямую. Он работает, только когда трафик идёт через Cloudflare с включённым проксированием.
-
Минцифры дополняйте обычным центром. Клиенты, у которых корня Минцифры нет в доверенных, увидят эту ошибку — так было на нашем стенде со всеми тремя такими ресурсами.
-
Проверьте результат той же командой и в браузере на чистом устройстве. Отсутствие ошибок в одном браузере ещё не значит, что цепочка полная: Chrome умеет докачать промежуточное звено, а другие программы — нет.
Когда сертификат исправлен, посмотрите, что ещё мешает сайту в поиске. Движок разбирает одну страницу: метатеги, заголовки, canonical, robots.txt, карту сайта. Без регистрации.
Границы замера
- Chromium 149 на Linux со своим хранилищем NSS. Хранилище Windows, Яндекс Браузер и телефоны мы не проверяли.
- Сайты проверяли из Германии, один прогон на сайт.
- Список — организации, которые мы собирали для своих исследований, а не срез всего рунета.
Коротко
- NET::ERR_CERT_AUTHORITY_INVALID — браузер не нашёл доверенного издателя сертификата.
- На стенде ошибку дали самоподписанный сертификат, неизвестный корень и неполная цепочка; адрес AIA Chromium выручает.
- На 26 живых сайтах с ошибкой почти половина — заглушки хостинга, три — сертификаты Минцифры.
- Посетителю — проверить другое устройство, антивирус и дату; для российских сайтов — установить корень Минцифры.
- Владельцу — выпустить настоящий сертификат и отдавать полную цепочку.