Prohlížeč hlásí nedůvěryhodný certifikát
Proč prohlížeč hlásí u našeho webu problém s certifikátem?
Krátká odpověď
Varování o certifikátu má obvykle jednu ze čtyř příčin: certifikát vypršel, neplatí pro adresu, kterou návštěvník zadal, není od veřejné certifikační autority, nebo se nenasadil celý řetěz certifikátů. Prohlížeč v detailu varování řekne, o kterou jde — kód chyby je tam vždy. Pro návštěvníka jsou všechny čtyři k nerozeznání od skutečného útoku, proto se to řeší hned, a ne při nejbližší odstávce.
Co se vlastně děje
Případy, které se dají splést, a jak se liší.
Vypršela platnost. Kód chyby bývá NET::ERR_CERT_DATE_INVALID. Certifikát je jinak v pořádku, jen skončila jeho doba platnosti.
Jméno nesouhlasí. Kód bývá NET::ERR_CERT_COMMON_NAME_INVALID. Typicky certifikát platí pro doménu bez www a návštěvník přišel na variantu s www, nebo naopak.
Vydavatel není důvěryhodný. Kód bývá NET::ERR_CERT_AUTHORITY_INVALID. Nejčastěji je certifikát vlastnoručně podepsaný — na interním nástroji to může být záměr, na veřejné službě to znamená trvalé varování.
Neúplný řetěz. Server pošle jen svůj certifikát a vynechá mezilehlý. Část prohlížečů si pomůže, část ne, takže se chyba projevuje jen některým lidem — a tím se nejhůř hledá.
Pátá možnost je na straně návštěvníka: špatně nastavené hodiny na jeho zařízení. Pozná se podle toho, že varování vidí jeden člověk a nikdo jiný.
Jak zjistíte, o co jde
Projděte to v tomto pořadí, než začnete něco měnit.
- 01Klikněte ve varování na podrobnosti a přečtěte kód chyby. Ten odpoví na otázku „která ze čtyř příčin“ rychleji než cokoli jiného.
- 02Otevřete detail certifikátu a podívejte se na tři údaje: pro koho je vystavený, kdo ho vystavil a do kdy platí.
- 03Vyzkoušejte adresu s www i bez www. Když varování vidíte jen u jedné varianty, je to chybějící jméno v certifikátu.
- 04Vyzkoušejte to z jiného zařízení a jiné sítě. Když varování vidí jen jeden člověk, podezřelé jsou hodiny na jeho zařízení.
- 05Má-li web víc serverů za load balancerem, opakujte zkoušku několikrát. Nasazení jen na část serverů vypadá jako náhodná chyba.
Jak to Tegmia měří
Co přesně kontrola dělá — a co z této situace nezměří.
- Navážeme jedno TLS spojení na port 443 a přečteme certifikát. Žádný požadavek na obsah webu neposíláme.
- Soulad doménového jména ověřujeme standardním ověřením identity serveru. Při neshodě hlásíme tls.hostname_mismatch a do zjištění napíšeme, pro která jména certifikát platí.
- Vlastnoručně podepsaný certifikát poznáme z chyby ověření a hlásíme tls.self_signed.
- Neúplný řetěz, vypršelý certifikát autority v řetězci, nedůvěryhodnou autoritu nebo certifikát, který ještě neplatí, hlásíme jako tls.chain_untrusted s kódem chyby ověření.
- Vypršelou platnost hlásíme jako tls.cert_expired s kritickou závažností a s datem, kdy platnost skončila.
- Ověřování v socketu záměrně nevynucujeme, protože vadný certifikát musíme umět přečíst, abychom ho mohli popsat. Výsledek ověření si ukládáme jako důkaz.
Co tím nezměříme
- Odvolání certifikátu (OCSP, CRL) nekontrolujeme.
- Kontrolujeme port 443 na zadané doméně. Varianta s www je samostatná doména a musí být v účtu zvlášť.
Pravidla, která se k tomu váží
Přímo z katalogu zjištění. Stejný text uvidíte i v hlášení.
Certifikát už není platný
Kritickétls.cert_expired · Certifikát a TLS
Prohlížeče na takovém webu zobrazí varovnou stránku. Zákazníci web většinou opustí a platby přes něj neprojdou.
Co udělat: Obnovte certifikát u poskytovatele hostingu nebo zapněte automatickou obnovu (ACME / Let’s Encrypt). Po obnově ověřte, že se nový certifikát nasadil na všechny servery za load balancerem.
Výchozí závažnost kritické: Řešte hned. Chyba je zneužitelná zvenčí nebo už službu rozbíjí. Celé pravidlo v katalogu
Certifikát neplatí pro tuto doménu
Vysokétls.hostname_mismatch · Certifikát a TLS
Jméno v certifikátu neodpovídá adrese, na které služba běží. Prohlížeč zobrazí varování a návštěvník nepozná rozdíl mezi chybou konfigurace a skutečným útokem.
Co udělat: Nechte vystavit certifikát, který obsahuje tuto doménu (nebo ji doplňte do SAN u stávajícího). Zkontrolujte i přesměrování mezi variantou s www a bez www.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Certifikát není vydaný důvěryhodnou autoritou
Vysokétls.self_signed · Certifikát a TLS
Vlastnoručně podepsaný certifikát nikdo zvenčí neověří. Pro veřejnou službu to znamená trvalé varování v prohlížeči.
Co udělat: Nasaďte certifikát od veřejné certifikační autority. Pro běžný web stačí bezplatná varianta přes ACME.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Certifikát se nedá ověřit až k důvěryhodné autoritě
Vysokétls.chain_untrusted · Certifikát a TLS
Server obvykle neposílá mezilehlý certifikát nebo posílá už vypršelý, certifikát vydala autorita, které prohlížeče nevěří, případně certifikát ještě neplatí. Běžné prohlížeče chybějící mezilehlý certifikát často dohledají samy. Aplikace v telefonu a služby, které se k webu připojují automaticky, to dělat nemusí a spojení odmítnou.
Co udělat: Nasaďte na server celý aktuální řetězec: certifikát i mezilehlé certifikáty, které autorita vydává teď (u Let’s Encrypt soubor fullchain.pem, ne cert.pem). Certifikát, který ještě neplatí, nasaďte až od začátku jeho platnosti, nebo si nechte vystavit nový.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Certifikát vyprší za méně než 14 dní
Vysokétls.cert_expiring_soon · Certifikát a TLS
Pokud automatická obnova selže, web během dvou týdnů přestane fungovat. Většina výpadků HTTPS vzniká právě takto.
Co udělat: Zkontrolujte, že automatická obnova běží a má přístup k doméně. Pokud certifikát obnovujete ručně, naplánujte obnovu do konce tohoto týdne.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Typická chybná konfigurace
Certifikát vystavený jen na doménu bez www, zatímco web běží na obou variantách. Všechno vypadá v pořádku, dokud někdo nenapíše tu druhou — a protože obě vedou na stejný server, nikomu to nepřijde divné.
Druhý stav: obnovený certifikát nasazený jen na jeden server ze dvou. Polovina návštěvníků vidí varování, podle toho, kam je spojení pustí.
Jak to opravit
Konkrétní kroky v pořadí, ve kterém mají smysl.
- 01Podle kódu chyby určete příčinu. Bez toho se opravuje naslepo.
- 02Vypršelá platnost: vydejte nový certifikát a nasaďte ho. Postup i hledání příčiny selhání obnovy má vlastní stránku.
- 03Chybějící jméno: nechte certifikát vystavit znovu s oběma variantami domény (SAN). U ACME stačí doménu doplnit do konfigurace.
- 04Vlastnoručně podepsaný certifikát na veřejné službě vyměňte za certifikát od veřejné autority; pro běžný web stačí bezplatná varianta přes ACME.
- 05Neúplný řetěz: nasaďte celý balík včetně mezilehlého certifikátu tak, jak ho autorita dodává.
- 06Po opravě ověřte, co server opravdu posílá — na všech serverech, které doménu obsluhují, ne jen na jednom.
Zkontrolovat to na své doméně
Čteme jen to, co doména zveřejnila.
Sken přečte veřejné záznamy a konfiguraci domény a ukáže, co z této situace platí u vás. Výsledek dostanete s důkazem, ze kterého jsme vycházeli.
Související kontroly
- Kontrola SSL certifikátu
Co se dá o certifikátu zjistit jedním TLS spojením: vydavatel, doménová jména, síla klíče, verze protokolu.
- Kontrola platnosti certifikátu
Kdy certifikát vyprší, jak dlouho dopředu hlídáme podle doby jeho platnosti a co se změní se zkracováním maximální platnosti.
- Kontrola přesměrování z HTTP na HTTPS
Jak se měří, že web nezůstane na nezabezpečeném spojení, a proč bývá varianta s www zapomenutá.
Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.