NET::ERR_CERT_DATE_INVALID: сертификат просрочен или часы врут

NET::ERR_CERT_DATE_INVALID значит, что срок действия сертификата сайта не совпал с датой на устройстве. Сертификат либо просрочен, либо ещё не начал действовать, либо врут часы на компьютере. Chrome показывает «Подключение не защищено» и код ошибки под заголовком. Мы подняли стенд с шестью вариантами сроков и проверили 2056 сайтов организаций: разбираем, что пишет браузер в каждом случае и кто должен исправлять.

Дату окончания сертификата своего сайта можно посмотреть проверкой доступности: наш сервер запрашивает страницу и показывает код ответа, время отклика и срок SSL-сертификата.

Что означает ошибка

У каждого SSL-сертификата есть два поля: «действителен с» и «действителен по». При установке защищённого соединения браузер сравнивает их с текущей датой и временем на устройстве. Если дата выходит за этот интервал, соединение не считается безопасным, и браузер показывает предупреждение. Срок является частью подписанных данных: его ставит центр сертификации, и без перевыпуска изменить его нельзя.

Ошибка возникает при загрузке страницы по протоколу https. Если сбиты часы на устройстве, недоступными становятся почти все защищённые сайты сразу, а не один. Сайт при этом не заблокирован: браузер просто не может подтвердить, что соединение с ним безопасно.

Полный текст в Chromium 149 на русском, после нажатия «Дополнительные»:

Сервер не может подтвердить связь с доменом 127.0.0.1. Срок действия его сертификата безопасности истек 11 дней назад. Возможно, сервер настроен неправильно или кто-то пытается перехватить ваши данные. Обратите внимание, что часы на вашем компьютере установлены на суббота, 17 октября 2026 г.. Это правильное время? Если нет, измените его и обновите страницу.

Ниже — кнопка «Перейти на сайт 127.0.0.1 (небезопасно)». Заглушка та же, что и при других ошибках сертификата: отличается код и пояснение.

Как посмотреть срок сертификата

Нажмите на значок «Не защищено» слева в адресной строке и выберите «Сертификат недействителен». На вкладке «Подробнее» указаны обе даты: «Действителен с» и «Действителен по». Если обнаружите, что вторая дата уже прошла, а время на компьютере верное, ошибка будет устранена только тогда, когда владелец выпустит новый сертификат. Если первая дата ещё не наступила, обычно виноваты часы.

Стенд: что пишет браузер при разных сроках

Мы выпустили свой корневой и промежуточный сертификаты, добавили корень в доверенные и подняли семь локальных серверов. Сайт везде один и тот же, меняется только срок сертификатов в цепочке. В зависимости от того, какое звено просрочено, меняется пояснение под кодом.

Что видно из стенда:

• Браузер считает в днях и округляет. Сертификат, истёкший две минуты назад, Chrome описывает как истёкший «вчера». Число дней в пояснении — ориентир, а не точное время.
• Срок проверяется у всей цепочки. Истёкший промежуточный сертификат или корень дают ту же ошибку, хотя у сертификата сайта всё в порядке. Причину Chrome при этом не называет: пишет только «может быть недействителен».
• Вопрос про часы Chrome задаёт только при просрочке. Если сертификат ещё не вступил в силу, про время на компьютере он молчит, хотя именно так выглядят отстающие часы.
• Свой корень не ограничен в сроке. Сертификат на три года от нашего корня Chromium открыл. Публичные центры таких не выпускают.

Наш замер: 15 сайтов с этой ошибкой

17 октября 2026 года мы проверили сертификаты у сайтов организаций из нашего списка — 2056 доменов. По https ответили 1654. У 26 срок сертификата сайта истёк. Все 26 мы открыли в Chromium, и ошибку даты он показал у 15. В том же списке 26 сентября таких было 16.

Кто выпустил сертификаты: у 12 сайтов — Let's Encrypt, у 3 — GlobalSign. Все 12 сертификатов Let's Encrypt истекли после 4 июня 2025 года. С этого дня Let's Encrypt перестал рассылать письма о скором окончании срока, о чём заранее объявил в своём блоге. Совпадение не доказывает причину, но напоминания владельцу больше никто не пришлёт.

Остальные 11 просроченных сайтов показали другую ошибку:

• 10 — ERR_CERT_AUTHORITY_INVALID: пять самоподписанных заглушек и пять сертификатов с цепочкой к корню, которому Chromium не доверяет (у четырёх — старый корень Let's Encrypt);
• 1 — ERR_CERT_COMMON_NAME_INVALID: сертификат выпущен на другое имя.

То есть ошибка даты появляется последней. Если с издателем или именем что-то не так, браузер сообщит об этом, а про просрочку промолчит. Исправив одну ошибку, владелец может увидеть следующую.

Что вызывает ошибку

На стороне сайта:

• сертификат истёк, а автопродление не сработало;
• сертификат продлён, но веб-сервер не перезапустили, и он отдаёт старый файл из памяти;
• истёк промежуточный сертификат в цепочке, которую отдаёт сервер;
• домен перенесли к другому хостингу или на CDN, а сертификат остался на старом месте.

На стороне пользователя:

• неверная дата или время на устройстве — после замены батарейки на материнской плате, сбоя синхронизации, ручной перестановки;
• неправильный часовой пояс, особенно когда до окончания срока остаются часы;
• устаревшая система с истёкшим корневым сертификатом;
• антивирус или прокси, который подставляет свой сертификат.

Как исправить ошибку посетителю

Сначала определите, связана ли проблема с вашим устройством. Попробуйте зайти на тот же адрес с телефона через мобильный интернет. Если ошибка есть и там, проблема полностью на стороне сайта: ниже ничего не поможет, вы можете только сообщить владельцу. Если с телефона сайт открывается, а с компьютера нет, выполните шаги по порядку и после каждого снова попробуйте открыть страницу.

1. Убедитесь, что дата, время и часовой пояс верные. В Windows: меню «Пуск» → «Параметры» → «Время и язык» → включите «Установить время автоматически» и «Автоматически устанавливать часовой пояс», нажмите «Синхронизировать». Если автоматический пояс ошибается, его можно выбрать вручную. На телефоне — «Дата и время» → «Автоматически». Завершив настройку, повторите загрузку страницы.
2. Перезапустите браузер. Если владелец уже заменил сертификат, старое соединение могло остаться открытым.
3. Проверьте антивирус. Если вы используете антивирусные программы и в них включена проверка защищённых соединений, отключите её на минуту. Помогло — добавьте сайт в исключения и включайте защиту обратно, не оставляйте её выключенной.
4. Откройте страницу в режиме инкогнито без расширений: VPN, прокси и программы, блокирующие рекламу, тоже могут вмешиваться в соединение. Если так сайт открывается, включайте расширения по одному, чтобы найти конкретное.
5. Обновите браузер и систему до актуальной версии. Вместе с обновлениями приходят новые корневые сертификаты. На Windows 7 и других операционных системах без поддержки поможет только современный браузер со своим хранилищем корней.

Из всех способов, которые советуют многие инструкции, часть к этой ошибке отношения не имеет. Очистку кэша и файлов cookie, смену DNS, сброс настроек сети, например, делать не нужно. На ошибку даты они не влияют: сертификат браузер получает заново при каждом соединении с сайтом.

Если ошибка сохраняется и появляется на многих сайтах сразу, причина почти всегда в часах. На рабочем компьютере, где время задаёт сеть организации, свяжитесь с администратором. Если часы сбрасываются после каждого выключения компьютера, села батарейка на материнской плате — её меняют.

Можно ли перейти на сайт

Переход по кнопке «Перейти на сайт (небезопасно)» откроет страницу, но подтверждения, что вы говорите с нужным сервером, не будет. Читать новости или расписание так можно. Вводить пароли, данные карты, паспорта, отправлять формы — нельзя. Просроченный сертификат чаще всего просто забыли продлить, но со стороны это не отличить от перехвата соединения.

Как исправить владельцу сайта

1. Посмотрите срок сертификата. В терминале:

   echo | openssl s_client -connect ваш-сайт.ru:443 -servername ваш-сайт.ru 2>/dev/null | openssl x509 -noout -dates
   

   Строка notAfter — дата окончания. Проверьте оба адреса, с www и без: на них бывают разные сертификаты.

2. Выпустите новый сертификат. В панели управления хостингом кнопку перевыпуска Let's Encrypt ищите в разделе SSL. На своём сервере — certbot renew. Подробнее о выпуске — в статье про SSL-сертификат сайта.

3. Перезапустите веб-сервер. nginx и Apache читают файл сертификата при запуске. Добавьте перезагрузку в хук продления certbot (--deploy-hook "systemctl reload nginx"), иначе следующее продление опять не дойдёт до посетителей. Конфигурация при этом не меняется: директива ssl_certificate указывает на файл, а certbot кладёт новый по тому же пути. После изменений повторите команду из первого шага и сравните результат.

4. Проверьте цепочку. Если ваш сертификат действует, а ошибка продолжает появляться у посетителей на другой сети или устройстве, смотрите сроки промежуточных сертификатов: команда openssl s_client -showcerts выведет всю цепочку.

5. Проверьте, работает ли автопродление. systemctl list-timers покажет, когда certbot запускался в последний раз. Сертификат Let's Encrypt по умолчанию действует 90 дней, а публичные центры по решению CA/Browser Forum с марта 2026 по март 2029 года сокращают предельный срок с 398 до 47 дней. Продлевать вручную скоро станет нереально.

6. Настройте напоминание. Писем и других уведомлений от Let's Encrypt больше нет. Подойдёт любой мониторинг, который раз в сутки проверяет дату notAfter и пишет, когда до неё остаётся меньше двух недель. Такие проверки позволяют получить сообщение заранее, а не от посетителей. Некоторым хватает напоминания в календаре на каждый перевыпуск.

Границы замера

• Chromium 149 на Linux. Windows, macOS, Яндекс Браузер и телефоны мы не проверяли.
• Отстающие часы на компьютере мы не воспроизводили: их заменял сертификат с датой начала в будущем. Для браузера это одно и то же сравнение.
• Сайты проверяли из Германии, один прогон на сайт.
• Список — организации, которые мы собирали для своих исследований, а не срез всего рунета.

Коротко

• NET::ERR_CERT_DATE_INVALID — срок сертификата не совпал с датой на устройстве.
• Ошибку даёт просрочка любого звена цепочки, а не только сертификата сайта; если что-то не так с издателем или именем, браузер покажет сначала их.
• Из 2056 сайтов ошибка даты у 15, у 12 из них — просроченный Let's Encrypt.
• Посетителю — проверить часы и часовой пояс; если ошибка и на телефоне, проблема у сайта.
• Владельцу — перевыпустить сертификат, перезапустить веб-сервер и проверить автопродление. [check]