ERR_SSL_VERSION_OR_CIPHER_MISMATCH: nieobsługiwany protokół

Czym jest ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH oznacza, że przeglądarka i strona nie mogły uzgodnić, jak zaszyfrować połączenie. Chrome pokazuje „Ta witryna nie umożliwia bezpiecznego połączenia” oraz „Serwer example.com używa nieobsługiwanego protokołu.”; w szczegółach: „Klient i serwer nie obsługują wspólnej wersji protokołu SSL lub mechanizmu szyfrowania.” Chromium opisuje go jako błąd -113 (net_error_list.h).

Dzieje się to w pierwszym kroku uzgadniania TLS (handshake). Przeglądarka wysyła obsługiwane wersje TLS i zestawy szyfrów, a serwer musi wybrać po jednym z każdego. Jeśli serwer nie ma nic wspólnego z tą listą, odpowiada wersją, której przeglądarka już nie akceptuje, albo odmawia dalszej rozmowy, bo nie ma certyfikatu dla żądanej nazwy, uzgadnianie kończy się w tym miejscu.

Ponieważ błąd pojawia się, zanim jakikolwiek certyfikat zostanie sprawdzony, wygasły, źle nazwany lub z błędnym łańcuchem certyfikat daje inny błąd (zobacz tabelę na końcu). Firefox pokazuje SSL_ERROR_NO_CYPHER_OVERLAP przy odmowie z powodu szyfru lub certyfikatu oraz SSL_ERROR_UNSUPPORTED_VERSION dla serwera obsługującego tylko TLS 1.0/1.1.

Jak wygląda ten błąd w poszczególnych przeglądarkach

Każda przeglądarka oparta na Chromium (Chrome, Edge, Brave, Opera) pokazuje ten sam kod. Szukaj takich komunikatów:

Co powoduje ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

Jeśli błąd pojawia się na jednej stronie, przyczyną jest serwer lub CDN tej strony. Jeśli na wielu stronach, coś na Twoim urządzeniu lub w sieci stoi na drodze. Przyczyny:

• Serwer obsługuje tylko TLS 1.0 lub 1.1. Chrome, Edge i Firefox zaczęły blokować obie wersje w 2020 roku (Firefox 78, Chrome i Edge 84); od Chrome 98 (2022) nie da się tego obejść, a Chromium zgłasza taki serwer jako ten błąd (net_error_list.h).
• Serwer oferuje tylko stare szyfry, takie jak RC4, 3DES lub zestawy eksportowe. Kod TLS Chrome całkowicie wyłącza 3DES, więc serwer, który nie oferuje nic innego, jest nieosiągalny.
• Brak certyfikatu dla wpisanej nazwy (w niektórych CDN). W Cloudflare i CloudFront nazwa hosta bez certyfikatu dostaje odmowę uzgadniania już w pierwszym kroku. W Cloudflare to najczęstsza przyczyna: certyfikat wciąż się aktywuje, rekord nie jest proxowany, własny certyfikat wygasł i nie ma żadnego zapasowego albo nazwa jest subdomeną wielopoziomową (Cloudflare). Zwykły serwer nginx lub Apache wysyła zamiast tego swój certyfikat domyślny, co daje ostrzeżenie o niezgodności nazwy.
• Coś pośrodku: skanowanie HTTPS w antywirusie, firmowe proxy albo VPN, który szyfruje Twój ruch ponownie ze starymi ustawieniami TLS.
• Bardzo stare urządzenie lub przeglądarka: Windows XP, Android 4.x i przeglądarki nieaktualizowane od lat nie mają TLS 1.2 ani szyfrów, których dziś wymagają serwery.

Sprawdziliśmy: stare serwery TLS kontra nowoczesny klient

Aby pokazać, co wywołuje ten błąd, 27 października 2026 połączyliśmy nowoczesnego klienta TLS (OpenSSL 3.6) z publicznymi serwerami testowymi badssl.com. Serwery TLS 1.0 i 1.1 odpowiedziały wersją, której klient już nie akceptuje; serwery RC4 i 3DES odmówiły alertem handshake_failure. Chrome zgłasza wszystkie cztery jako ERR_SSL_VERSION_OR_CIPHER_MISMATCH:

Otwórz https://tls-v1-0.badssl.com:1010/ w Chrome, a zobaczysz dokładnie tę stronę błędu. Jeśli Twoja strona zachowuje się jak pierwsze cztery wiersze, zastosuj poprawki dla właścicieli stron poniżej.

Jak naprawić ERR_SSL_VERSION_OR_CIPHER_MISMATCH (dla użytkowników)

Nie możesz zmienić serwera strony, więc najpierw sprawdź, czyja to wina. Jeśli nie działa jedna strona, przejdź do poprawek dla właścicieli stron: rozwiązać to może tylko właściciel. Jeśli nie działa wiele stron, spróbuj poniższych kroków. (Wyłączenie QUIC, stara rada, tu nie pomaga: błędy QUIC pokazują ERR_QUIC_PROTOCOL_ERROR.)

Poprawka 1: sprawdź, czy to wina strony

Otwórz tę samą stronę na innym urządzeniu lub przez internet w telefonie. Jeśli tam też się nie otwiera, problem leży po stronie serwera.

Aby mieć pewność, sprawdź stronę w SSL Checker DNS Robot: dla większości serwerów pokazuje on akceptowane wersje TLS, a dla strony w Cloudflare to, czy wydano jakikolwiek certyfikat dla tej nazwy. Strony, która akceptuje tylko TLS 1.0 lub 1.1, nie otworzysz w Chrome, Edge ani Firefoksie i nie ma tu czego „przeklikać”: Chrome nie oferuje opcji „mimo to przejdź” dla tego błędu.

Poprawka 2: zaktualizuj przeglądarkę i system operacyjny

Bardzo stare przeglądarki i systemy nie mają TLS 1.2, TLS 1.3 ani szyfrów, których dziś używają serwery. Zaktualizuj Chrome pod adresem chrome://settings/help, Edge pod edge://settings/help, a potem system operacyjny.

Internet Explorer w Windows XP i Vista oraz domyślna przeglądarka w Androidzie 4.0-4.3 nie mają TLS 1.2 z dzisiejszymi szyframi i zawodzą na większości stron HTTPS.

Poprawka 3: sprawdź skanowanie HTTPS w antywirusie

Pakiety antywirusowe skanujące HTTPS (Avast, Kaspersky, Bitdefender, ESET, Norton) stoją pośrodku każdego połączenia i same łączą się ze stroną przez TLS. Jeśli ich ustawienia TLS są nieaktualne, strony wymagające nowoczesnego TLS nie działają.

Wyłącz tylko część skanującą HTTPS, którą każdy program nazywa inaczej (skanowanie HTTPS w Web Shield w Avast, filtrowanie protokołów SSL/TLS w ESET, skanowanie szyfrowanego ruchu internetowego w Bitdefender, skanowanie połączeń szyfrowanych w Kaspersky), i odśwież stronę. Jeśli błąd zniknie, zaktualizuj antywirusa lub dodaj stronę do wyjątków, zamiast zostawiać skanowanie wyłączone.

Poprawka 4: rozłącz VPN lub proxy

Firmowe proxy oraz VPN z funkcją ochrony sieci lub inspekcji HTTPS same łączą się ze stroną przez TLS (zwykły tunel VPN tego nie robi). Rozłącz się i odśwież stronę. Jeśli strona działa, wyłącz tę funkcję albo poproś dostawcę (lub dział IT) o aktualizację ustawień TLS.

Jak naprawić ERR_SSL_VERSION_OR_CIPHER_MISMATCH (dla właścicieli stron)

Jeśli odwiedzający zgłaszają ten błąd na Twojej stronie, serwer lub CDN odpowiadający na porcie 443 nie potrafi uzgodnić TLS z nowoczesnymi przeglądarkami. Sprawdź to w SSL Checker, a potem:

Poprawka 1: upewnij się, że każda nazwa ma certyfikat

W Cloudflare, CloudFront i niektórych innych CDN nazwa hosta bez certyfikatu dostaje odmowę uzgadniania, a przeglądarki pokazują ten błąd zamiast ostrzeżenia o certyfikacie. Zwykły serwer nginx lub Apache zwykle wysyła zamiast tego swój certyfikat domyślny (ERR_CERT_COMMON_NAME_INVALID) albo, z ssl_reject_handshake w nginx, alert unrecognized_name (ERR_SSL_UNRECOGNIZED_NAME_ALERT). Sprawdź każdą nazwę, której używają odwiedzający: example.com, www.example.com i każdą subdomenę.

Sprawdź każdą nazwę w SSL Checker albo z terminala (OpenSSL 1.1.1 lub nowszy; jeśli zobaczysz „Could not find certificate”, serwer odmówił uzgadniania dla tej nazwy):

# Does the server present a certificate for this exact name?
openssl s_client -connect example.com:443 -servername www.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName

# Which TLS versions and ciphers does it accept?
nmap --script ssl-enum-ciphers -p 443 example.com

Poprawka 2: włącz TLS 1.2 i TLS 1.3

Każda aktualna przeglądarka wymaga co najmniej TLS 1.2. Włącz TLS 1.2 i TLS 1.3, a nic starszego:

# nginx (site config or nginx.conf)
ssl_protocols TLSv1.2 TLSv1.3;

# Apache (ssl.conf)
SSLProtocol -all +TLSv1.2 +TLSv1.3

# Then check the config and reload
sudo nginx -t && sudo systemctl reload nginx
sudo apachectl configtest && sudo systemctl reload apache2

Po przeładowaniu sprawdź ponownie w SSL Checker lub Qualys SSL Labs, czy oferowane są tylko TLS 1.2 i 1.3.

Poprawka 3: oferuj nowoczesne zestawy szyfrów

Przy włączonym TLS 1.2 serwer potrzebuje szyfru, który przeglądarki nadal akceptują. Oferuj ECDHE z AES-GCM lub ChaCha20-Poly1305 (zestaw Mozilli); szyfry RC4, 3DES, eksportowe i NULL są odrzucane.

# nginx (TLS 1.2 ciphers; TLS 1.3 ciphers are always on)
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

# Apache
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off

Poprawka 4: rozwiązania specyficzne dla Cloudflare

Własny poradnik Cloudflare mówi, że ten błąd pojawia się, gdy nazwa hosta nie jest objęta certyfikatem (Cloudflare). Sprawdź po kolei:

• Czy certyfikat jest aktywny? Nowa domena dostaje certyfikat Universal SSL w ciągu od 15 minut do 24 godzin. Zobacz SSL/TLS → Edge Certificates: musi być Active.
• Czy rekord DNS jest proxowany? Certyfikat jest prezentowany tylko dla rekordów proxowanych (pomarańczowa chmurka). DNS Lookup nazwy proxowanej zwraca adresy Cloudflare, nie Twojego serwera.
• Czy wygasł własny certyfikat? Cloudflare usuwa go po wygaśnięciu; jeśli żaden inny aktywny certyfikat (na przykład Universal SSL) nie obejmuje tej nazwy, odwiedzający dostają ten błąd zamiast ostrzeżenia o certyfikacie.
• Czy to subdomena wielopoziomowa? W pełnej konfiguracji Universal SSL obejmuje tylko example.com i *.example.com, a nie test.dev.example.com. Użyj certyfikatu Advanced lub własnego albo Total TLS (wymaga Advanced Certificate Manager).

Poprawka 5: sprawdź inne CDN i load balancery

Jeśli połączenie TLS kończy CDN lub load balancer (CloudFront, Fastly, Akamai, load balancer w chmurze), decydują jego ustawienia, nie ustawienia Twojego serwera:

• Certyfikat dla każdej nazwy hosta, przypisany do właściwej dystrybucji lub listenera
• Minimum TLS 1.2 w polityce bezpieczeństwa, z nowoczesnymi szyframi
• Obsługa SNI, jeśli kilka domen dzieli jeden adres IP

Jak przetestować konfigurację SSL

Po wprowadzeniu zmian sprawdź, czy konfiguracja SSL jest poprawna. Te narzędzia pomogą wychwycić problemy, zanim zrobią to Twoi odwiedzający.

• DNS Robot SSL Checker: szybkie sprawdzenie stanu certyfikatu, daty wygaśnięcia, kompletności łańcucha i wystawcy. Wyniki w kilka sekund.
• Qualys SSL Labs: dogłębne skanowanie wersji TLS, zestawów szyfrów, obsługi protokołów i znanych luk. Daje ocenę literową (celuj w A lub A+).
• OpenSSL CLI: testuj z wiersza poleceń przez openssl s_client -connect domain.com:443, aby zobaczyć surowe uzgadnianie, łańcuch certyfikatów i wynegocjowany szyfr.
• Chrome DevTools: na stronie, która się ładuje, panel Security (lub Privacy and security) pokazuje użytą wersję TLS i szyfr.

# Quick check: protocol, cipher and certificate in a few lines
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -brief </dev/null

# Does it accept TLS 1.2? TLS 1.3?
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_2 -brief </dev/null
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_3 -brief </dev/null

Powiązane błędy SSL/TLS

Chrome ma kilka błędów TLS i certyfikatów, każdy z innego kroku:

Poradniki o sąsiednich błędach: ERR_SSL_PROTOCOL_ERROR, ERR_CERT_AUTHORITY_INVALID i Połączenie nie jest prywatne.