ERR_CERT_AUTHORITY_INVALID: что это и как исправить в Chrome

Что означает ошибка NET::ERR_CERT_AUTHORITY_INVALID?

NET::ERR_CERT_AUTHORITY_INVALID означает, что браузер не доверяет тому, кто выпустил сертификат сайта. Chrome показывает «Подключение не защищено», а в разделе «Дополнительные настройки» поясняет: «Не удалось подтвердить, что это сервер example.com», потому что его сертификату безопасности нет доверия, и добавляет: «Возможно, сервер настроен неправильно или кто-то пытается перехватить ваши данные». В Chromium это ошибка -202 (net_error_list.h).

Соединение установлено, сервер отправил сертификат, но браузер не смог связать его с центром сертификации (CA), которому доверяет. В комментариях Chromium названы три причины: злоумышленник подменил сертификат, сайт использует CA, неизвестный браузеру, или сертификат самоподписанный.

Если у сертификата несколько проблем, Chrome показывает только самую серьёзную, и недоверенный издатель важнее неверного имени или истёкшего срока. Поэтому самоподписанный сертификат, у которого к тому же истёк срок, даёт этот код, а не ERR_CERT_DATE_INVALID.

Как выглядит ERR_CERT_AUTHORITY_INVALID в разных браузерах

Каждый браузер формулирует ошибку по-своему. Ищите такие надписи:

Как работает доверие к SSL-сертификатам (цепочка доверия)

Любой сертификат держится на цепочке доверия: в её конце стоит корневой центр сертификации, которому браузер уже доверяет.

При подключении сервер отправляет свой сертификат и один или несколько промежуточных. Браузер проверяет, что сертификат сайта подписан промежуточным, а промежуточный — корневым из его списка. Chrome больше не берёт этот список у операционной системы: с Chrome 108 на Windows и macOS и с Chrome 115 на Android у него собственный список, Chrome Root Store (кроме iPhone и iPad, где обязателен список Apple). В нём около 100 корневых сертификатов, и он обновляется в фоне (Chrome Root Store). Edge на Windows и macOS использует список Microsoft, Firefox — список Mozilla, и все они также доверяют корневым сертификатам, которые вы или ваша компания добавили на компьютер.

Если какого-то звена нет или оно неизвестно, появляется эта ошибка (подробнее — что такое цепочка SSL-сертификатов). Цепочка состоит из четырёх частей:

• Корневой CA — самоподписанный, встроен в список корневых сертификатов браузера
• Промежуточный CA — подписан корневым; сервер обязан его отправлять. Chrome сам скачивает недостающий по адресу, указанному в сертификате, но curl, приложения и многие другие клиенты так не умеют
• Сертификат сайта — подписан промежуточным и выдан на имена из списка Subject Alternative Name
• Проверка — браузер проходит от сертификата сайта до доверенного корневого; каждая подпись должна сойтись

Причины ошибки NET::ERR_CERT_AUTHORITY_INVALID

Где вы видите ошибку, подсказывает причину: один сайт — почти всегда проблема в его сертификате, все HTTPS-сайты — дело в вашем устройстве или сети.

Решения для посетителей сайта (клиентская сторона)

Если ошибка появляется на сайте, который вы не администрируете, попробуйте шаги ниже по порядку. Никогда не вводите пароль или номер карты на странице с этим предупреждением.

Способ 1: войдите в Wi-Fi или попробуйте другую сеть

Wi-Fi в отелях, аэропортах и кафе часто перехватывает первые соединения, чтобы показать страницу входа, и тогда HTTPS-сайт получает сертификат сети вместо собственного. В справке Chrome сказано, что в таких сетях нужно выполнить вход, а страница входа открывается, если зайти на страницу с http://; вместо этой ошибки Chrome может показать страницу «Подключение к Wi-Fi». Выполните вход и обновите страницу.

Сети компаний и учебных заведений тоже могут проверять HTTPS своим сертификатом. Если через мобильный интернет ошибка пропадает, обратитесь в ИТ-отдел этой сети: на управляемых устройствах их корневой сертификат обычно уже установлен, а на вашем его может не быть.

Способ 2: проверьте HTTPS-сканирование антивируса

Антивирусы вроде Kaspersky, Avast, ESET и Bitdefender умеют проверять HTTPS: расшифровывают трафик своим сертификатом и шифруют заново. Если браузер не доверяет их корневому сертификату или функция ломается после обновления, ошибка появляется сразу на всех HTTPS-сайтах.

Для проверки приостановите только HTTPS- или веб-сканирование и обновите страницу. Если ошибка пропала, восстановите или обновите антивирус, чтобы он заново установил свой сертификат, или оставьте HTTPS-сканирование выключенным.

Способ 3: обновите браузер и операционную систему

Браузеры и ОС регулярно обновляют списки корневых сертификатов (Chrome — фоновыми обновлениями компонентов), а в старых системах нет новых корневых. Например, Android старше 7.1.1 не доверяет ISRG Root X1, поэтому сайты с Let's Encrypt там не открываются в браузерах и приложениях, которые полагаются на системный список.

Сначала обновите браузер: у Chrome и Edge на Windows и macOS собственные списки корневых сертификатов, у Chrome на Android — начиная с версии 115. Затем обновите операционную систему.

Способ 4: проверьте дату и время

Если часы сбиты на месяцы или годы, сертификаты выглядят ещё не действующими или просроченными. Обычно Chrome показывает для этого отдельное предупреждение («Часы отстают» или ERR_CERT_DATE_INVALID), но сильно сбитые часы после севшей батарейки CMOS или восстановления виртуальной машины могут сломать и проверку доверия. Исключить эту причину можно за десять секунд.

Windows: «Параметры» → «Время и язык» → «Дата и время» → включите «Установить время автоматически». macOS: «Системные настройки» → «Основные» → «Дата и время» → «Устанавливать дату и время автоматически». Android: «Настройки» → «Система» → «Дата и время» → «Настраивать время автоматически» («Автоматическое определение даты и времени» в Android 16).

Способ 5: попробуйте режим инкогнито, затем перезапустите браузер

Окно в режиме инкогнито (Ctrl+Shift+N в Chrome и Edge, Ctrl+Shift+P для приватного окна в Firefox) работает без расширений, если вы сами их там не разрешили. Расширения VPN и прокси могут пускать трафик через сервер, который предъявляет свой сертификат; если в режиме инкогнито сайт открывается, отключите расширения на странице chrome://extensions и включайте их по одному.

Если сайт только что исправил сертификат, закройте все окна браузера и откройте его снова, чтобы он проверил новый сертификат с нуля.

Способ 6: на Android

У Android есть несколько собственных проверок:

• Включите автоматическую дату и время: «Настройки» → «Система» → «Дата и время» → «Автоматическое определение даты и времени».
• Обновите Chrome и Android System WebView в Play Маркете. Приложения, которые показывают веб-страницы через WebView, проверяют сертификаты по собственному списку Android, поэтому на старой версии Android ошибка в них может остаться.
• Отключите VPN, блокировщики рекламы и приложения «безопасного браузинга», которые фильтруют HTTPS; пока они работают, в строке состояния виден значок ключа или VPN.
• Войдите в Wi-Fi: публичные сети показывают ошибку, пока вы не примете условия на странице входа.
• На Android старше 7.1.1 корневого сертификата Let's Encrypt нет в системном списке, поэтому приложения и браузеры, которые на него полагаются, не могут проверить такие сайты. Единственный обходной путь — браузер с собственным списком корневых сертификатов.

Решения для владельцев сайтов (серверная сторона)

Если посетители сообщают о NET::ERR_CERT_AUTHORITY_INVALID на вашем сайте, чаще всего сертификат, который отдаёт сервер, не доходит по цепочке до публичного корневого. Сначала проверьте его в SSL Checker, затем исправьте найденное. Если там виден не тот сертификат, который вы установили, проверьте через DNS Lookup, что домен указывает на нужный сервер, а через проверку HTTP-заголовков — какой сервер отвечает.

Решение 1: установите сертификат от доверенного CA

Самоподписанному сертификату или сертификату от вашего собственного CA браузеры посетителей не будут доверять никогда: подписавшего нет ни в одном публичном списке корневых сертификатов.

Установите вместо него сертификат от публично доверенного CA. Let's Encrypt бесплатно выпускает автоматизированные сертификаты, которым доверяют все основные браузеры; DigiCert, Sectigo и GlobalSign продают сертификаты с проверкой организации и поддержкой.

# Install Let's Encrypt certificate with Certbot (Nginx)
sudo certbot --nginx -d example.com -d www.example.com

# Install Let's Encrypt certificate with Certbot (Apache)
sudo certbot --apache -d example.com -d www.example.com

# Verify the installed certificate
sudo certbot certificates

Решение 2: отдавайте полную цепочку сертификатов

Сертификат может быть полностью действительным, а сервер при этом забывает отправить промежуточный. Chrome часто скрывает проблему, сам скачивая недостающий промежуточный сертификат, поэтому сайт работает в Chrome, но не открывается в curl, приложениях, платёжных колбэках и на некоторых телефонах.

Проверьте сайт в SSL Checker от DNS Robot: он показывает цепочку, которую отдаёт сервер, и доверяют ли ей Mozilla, Chrome, Apple и Microsoft. Или проверьте из терминала:

# List each certificate the server sends (s: subject, i: issuer)
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -E ' [si]:'

# letsencrypt.org on 26 Oct 2026, a complete chain:
#  0 s:CN=letsencrypt.org
#    i:C=US, O=Let's Encrypt, CN=YE2
#  1 s:C=US, O=Let's Encrypt, CN=YE2
#    i:C=US, O=ISRG, CN=Root YE
#  2 s:C=US, O=ISRG, CN=Root YE
#    i:C=US, O=Internet Security Research Group, CN=ISRG Root X2
#  3 s:C=US, O=Internet Security Research Group, CN=ISRG Root X2
#    i:C=US, O=Internet Security Research Group, CN=ISRG Root X1
# Only certificate 0 listed = the intermediate is missing.

# nginx: point ssl_certificate at the full chain, not the leaf alone
ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

# Apache 2.4.8+
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Решение 3: продлите просроченный сертификат

Истёкший сертификат от доверенного CA даёт ERR_CERT_DATE_INVALID, а не эту ошибку. ERR_CERT_AUTHORITY_INVALID вы увидите, только если цепочка тоже недоверенная, потому что Chrome сообщает о более серьёзной проблеме. В любом случае проверьте даты и продлите сертификат:

# Check the certificate's dates
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -dates
# notBefore=Sep 30 12:00:00 2026 GMT
# notAfter=Dec 29 11:59:59 2026 GMT

# Renew now with Certbot, then reload the web server
sudo certbot renew --force-renewal
sudo systemctl reload nginx    # or apache2

Решение 4: включите в сертификат все имена, которые используют посетители

Доверенный сертификат, в котором нет имени из адресной строки, вызывает ERR_CERT_COMMON_NAME_INVALID. В эту ошибку он превращается, только если сертификат к тому же недоверенный, так что сначала исправьте доверие, затем имена.

Браузеры проверяют только список Subject Alternative Name, а не старое поле Common Name. Wildcard-сертификат (*.example.com) покрывает один уровень поддоменов, но не сам example.com, поэтому при заказе указывайте оба имени. SSL Checker показывает полный список имён сертификата.

Решение 5: если вы используете частный или корпоративный CA

Внутренние сайты часто намеренно используют корпоративный CA. Это работает только на устройствах, где установлен корневой сертификат компании, а Chrome и Edge доверяют корневым сертификатам, добавленным в Windows или macOS (Chrome Root Store FAQ). Распространите его через групповую политику или систему управления устройствами либо добавьте вручную:

# Windows (Command Prompt as Administrator): trust for all users
certutil -addstore -f Root company-root.crt

# macOS: trust in the System keychain
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain company-root.crt

ERR_CERT_AUTHORITY_INVALID на localhost (для разработчиков)

Локальный HTTPS-сервер с самоподписанным сертификатом показывает эту ошибку, и так и задумано. Вместо того чтобы каждый раз пропускать предупреждение, сделайте сертификат доверенным на своём компьютере:

• mkcert — mkcert -install создаёт локальный CA и добавляет его в системное хранилище доверенных сертификатов (и в Firefox, если установлен certutil из NSS); затем mkcert localhost 127.0.0.1 ::1 создаёт сертификат, которому доверяют Chrome, Edge и Firefox
• Next.js — next dev --experimental-https сам создаёт локально доверенный сертификат через mkcert
• Vite — @vitejs/plugin-basic-ssl создаёт недоверенный сертификат, так что ошибка останется; вместо этого укажите в server.https файлы mkcert
• Старые советы, которые больше не работают — переключатель chrome://flags/#allow-insecure-localhost истёк после Chrome 130, и в chrome://flags его больше нет

# Install mkcert (macOS)
brew install mkcert
mkcert -install

# Generate localhost certificate
mkcert localhost 127.0.0.1 ::1
# Creates: localhost+2.pem and localhost+2-key.pem

# Use with Node.js
const https = require('https');
const fs = require('fs');
https.createServer({
  cert: fs.readFileSync('localhost+2.pem'),
  key: fs.readFileSync('localhost+2-key.pem')
}, app).listen(3000);

Связанные ошибки SSL-сертификатов

NET::ERR_CERT_AUTHORITY_INVALID — одна из нескольких ошибок сертификата, которые стоят за страницей Chrome «Подключение не защищено». Каждый код указывает на свою проверку: