NET::ERR_CERT_AUTHORITY_INVALID Hatası: Anlamı ve Çözümü

NET::ERR_CERT_AUTHORITY_INVALID Nedir?

NET::ERR_CERT_AUTHORITY_INVALID, tarayıcınızın web sitesinin sertifikasını veren kuruma güvenmediği anlamına gelir. Chrome "Bağlantınız gizli değil" mesajını gösterir; Gelişmiş altında ise sunucunun example.com olduğunu "kanıtlayamadığı", çünkü güvenlik sertifikasına güvenilmediği yazar ve bunun "yanlış yapılandırmadan veya bağlantınıza müdahale eden bir saldırgandan kaynaklanıyor olabileceği" belirtilir. Chromium bunu -202 hata kodu olarak listeler (net_error_list.h).

Bağlantı kuruldu, sunucu sertifikasını gönderdi, ancak tarayıcı onu güvendiği bir sertifika otoritesine (CA) bağlayamadı. Chromium'un kendi notları üç neden sayar: bir saldırgan sertifikayı değiştirmiştir, site tarayıcının tanımadığı bir CA kullanıyordur veya sertifika kendi kendine imzalanmıştır.

Bir sertifikada birden fazla sorun varsa Chrome yalnızca en ciddi olanı gösterir ve güvenilmeyen bir düzenleyici, yanlış ada veya süresi dolmuş tarihe göre daha ağır basar. Yani süresi de dolmuş, kendinden imzalı bir sertifika ERR_CERT_DATE_INVALID değil bu kodu gösterir.

Her Tarayıcıda ERR_CERT_AUTHORITY_INVALID Nasıl Görünür

Her tarayıcı bunu farklı ifade eder. Şunlara bakın:

SSL Sertifika Güveni Nasıl Çalışır (Güven Zinciri)

Her sertifika, tarayıcının zaten güvendiği bir kök sertifika otoritesinde biten bir güven zincirine bağlıdır.

Bağlandığınızda sunucu kendi sertifikasını ve bir veya daha fazla ara sertifikayı gönderir. Tarayıcı, sitenin sertifikasının ara sertifika tarafından, ara sertifikanın da listesindeki bir kök tarafından imzalandığını kontrol eder. Chrome bunun için artık işletim sisteminizin listesini kullanmaz: kendi listesini, Chrome Root Store'u taşır; Windows ve macOS'ta Chrome 108'den, Android'de Chrome 115'ten beri (Apple'ın listesinin zorunlu olduğu iPhone ve iPad'de değil). Bu listede yaklaşık 100 kök bulunur ve arka planda güncellenir (Chrome Root Store). Windows ve macOS'ta Edge Microsoft'un listesini, Firefox Mozilla'nın listesini taşır; hepsi ayrıca sizin veya şirketinizin bilgisayara eklediği köklere de güvenir.

Herhangi bir halka eksik veya bilinmiyorsa bu hatayı alırsınız (ayrıntılar için SSL sertifika zinciri nedir). Zincirin dört parçası vardır:

• Kök CA — kendi kendine imzalıdır ve tarayıcının kök listesine gömülüdür
• Ara CA — kök tarafından imzalanır; sunucunun bunu da göndermesi gerekir. Chrome eksik bir ara sertifikayı sertifikadaki adresten indirir, ancak curl, uygulamalar ve birçok başka istemci indiremez
• Site sertifikası — ara sertifika tarafından, Subject Alternative Name listesindeki adlar için imzalanır
• Doğrulama — tarayıcı site sertifikasından güvenilir bir köke kadar yürür; her imzanın tutması gerekir

NET::ERR_CERT_AUTHORITY_INVALID Nedenler

Hatayı nerede gördüğünüz nedeni daraltır: tek bir web sitesi, sorunun neredeyse her zaman o sitenin sertifikasında olduğu anlamına gelir. Her HTTPS sitesi ise sorunun cihazınızda veya ağınızda olduğunu gösterir.

Ziyaretçiler İçin Düzeltmeler (İstemci Tarafı)

Sahibi olmadığınız bir sitede hatayı görüyorsanız bunları sırayla deneyin. Bu uyarıyı gösteren bir sayfaya asla parola veya kart numarası girmeyin.

Düzeltme 1: Wi-Fi'ye Giriş Yapın veya Başka Bir Ağ Deneyin

Otel, havalimanı ve kafe Wi-Fi ağları giriş sayfası göstermek için ilk bağlantılarınızı sık sık yönlendirir; bu durumda bir HTTPS sitesi kendi sertifikası yerine ağın sertifikasını alır. Chrome yardımı, bu ağların giriş yapmanızı istediğini ve http:// kullanan bir sayfayı ziyaret etmenin giriş sayfasını açtığını söyler; Chrome bu hata yerine Wi-Fi'ye bağlanma sayfası da gösterebilir. Girişi onaylayın, sonra sayfayı yenileyin.

Şirket ve okul ağları da HTTPS'yi kendi sertifikalarıyla denetleyebilir. Hata mobil veride kayboluyorsa ağın BT ekibine sorun: yönettikleri cihazlarda genellikle kendi kökleri kuruludur, sizin cihazınızda olmayabilir.

Düzeltme 2: Antivirüsün HTTPS Taramasını Kontrol Edin

Kaspersky, Avast, ESET ve Bitdefender gibi antivirüs paketleri HTTPS'yi kendi sertifikalarıyla çözüp yeniden şifreleyerek tarayabilir. Kök sertifikalarına tarayıcınız güvenmiyorsa veya özellik bir güncellemeden sonra bozulursa her HTTPS sitesi bu hatayı bir anda gösterir.

Test etmek için yalnızca HTTPS veya web tarama özelliğini duraklatın ve sayfayı yeniden yükleyin. Hata kaybolursa antivirüsü onarın veya güncelleyin ki sertifikasını yeniden kursun ya da HTTPS taramasını kapalı bırakın.

Düzeltme 3: Tarayıcınızı ve İşletim Sisteminizi Güncelleyin

Tarayıcılar ve işletim sistemleri kök listelerini düzenli olarak günceller (Chrome arka plandaki bileşen güncellemeleriyle), eski sistemler ise yeni kökleri bilmez. Örneğin 7.1.1'den eski Android sürümleri ISRG Root X1'e güvenmez; bu yüzden sistem listesine dayanan tarayıcı ve uygulamalarda Let's Encrypt siteleri başarısız olur.

Önce tarayıcıyı güncelleyin: Chrome ve Edge, Windows ve macOS'ta kendi kök listelerini taşır; Chrome Android'de de 115. sürümden beri taşır. Ardından işletim sistemini güncelleyin.

Düzeltme 4: Tarih ve Saatinizi Kontrol Edin

Aylar veya yıllar kadar yanlış bir saat, sertifikaların henüz geçerli değilmiş veya süresi dolmuş gibi görünmesine yol açar. Chrome bunun için genellikle ayrı bir uyarı gösterir ("Saatiniz geri" veya ERR_CERT_DATE_INVALID), ancak CMOS pili bittikten sonra ya da geri yüklenmiş bir sanal makinede çok yanlış bir saat güven denetimlerini de bozabilir. Bunu elemek on saniye sürer.

Windows: Ayarlar → Saat & dil → Tarih & saat → Saati otomatik olarak ayarla seçeneğini açın. macOS: Sistem Ayarları → Genel → Tarih ve Saat → Saati ve tarihi otomatik olarak ayarla. Android: Ayarlar → Sistem → Tarih ve saat → Saati otomatik olarak ayarla (Android 16'da Otomatik tarih ve saat).

Düzeltme 5: Gizli Pencereyi Deneyin, Sonra Tarayıcıyı Yeniden Başlatın

Gizli pencere (Chrome ve Edge'de Ctrl+Shift+N, Firefox'ta özel pencere için Ctrl+Shift+P), izin vermediğiniz sürece uzantılarınız olmadan çalışır. VPN ve proxy uzantıları trafiğinizi kendi sertifikasını sunan bir sunucudan geçirebilir; site gizli pencerede çalışıyorsa uzantıları chrome://extensions adresinden kapatıp tek tek yeniden açın.

Site sertifikasını yeni düzelttiyse tüm tarayıcı pencerelerini kapatıp yeniden açın; böylece tarayıcı yeni sertifikayı sıfırdan kontrol eder.

Düzeltme 6: Android'de

Android kendi kontrollerini de ekler:

• Tarih ve saati otomatik ayarlayın: Ayarlar → Sistem → Tarih ve saat.
• Chrome'u ve Android System WebView'u güncelleyin, Play Store'dan. Web sayfalarını WebView ile gösteren uygulamalar sertifikaları Android'in kendi kök listesine göre kontrol eder; eski bir Android sürümü orada yine de başarısız olabilir.
• HTTPS'yi filtreleyen VPN, reklam engelleyici veya "güvenli gezinme" uygulamalarını kapatın; bunlar durum çubuğunda anahtar veya VPN simgesi gösterir.
• Wi-Fi'ye giriş yapın: herkese açık ağlar, giriş sayfalarını onaylayana kadar hatayı gösterir.
• 7.1.1'den eski Android'de Let's Encrypt'in kökü sistem listesinde yoktur; buna dayanan uygulama ve tarayıcılar bu siteleri doğrulayamaz. Tek çare, kendi kök listesini taşıyan bir tarayıcıdır.

Web Sitesi Sahipleri İçin Düzeltmeler (Sunucu Tarafı)

Ziyaretçiler sitenizde NET::ERR_CERT_AUTHORITY_INVALID bildiriyorsa sunduğunuz sertifika genellikle herkese açık bir köke bağlanmıyordur. Önce SSL Checker ile kontrol edin, ardından bulduğunu düzeltin. Kurduğunuzdan farklı bir sertifika gösteriyorsa DNS Lookup ile alan adının sandığınız sunucuyu gösterdiğini, HTTP Header Checker ile de hangi sunucunun yanıt verdiğini doğrulayın.

Düzeltme 1: Güvenilir Bir CA'dan Sertifika Yükleyin

Kendinden imzalı bir sertifika ya da kendi CA'nızdan alınan bir sertifika, ziyaretçilerin tarayıcılarında asla güvenilir olmaz: imzalayan, hiçbir herkese açık kök listesinde yoktur.

Bunun yerine herkesçe güvenilen bir CA'dan sertifika kurun. Let's Encrypt, tüm büyük tarayıcıların güvendiği ücretsiz ve otomatik sertifikalar verir; DigiCert, Sectigo ve GlobalSign kurum doğrulamalı ve destekli sertifikalar satar.

# Install Let's Encrypt certificate with Certbot (Nginx)
sudo certbot --nginx -d example.com -d www.example.com

# Install Let's Encrypt certificate with Certbot (Apache)
sudo certbot --apache -d example.com -d www.example.com

# Verify the installed certificate
sudo certbot certificates

Düzeltme 2: Tam Sertifika Zincirini Gönderin

Sertifikanız tamamen geçerli olabilir ama sunucu ara sertifikayı göndermeyi unutmuş olabilir. Chrome eksik ara sertifikayı kendisi indirerek bunu çoğu zaman örter; böylece site Chrome'da çalışır, curl'de, uygulamalarda, ödeme geri çağrılarında ve bazı telefonlarda başarısız olur.

Siteyi DNS Robot SSL Checker ile kontrol edin: sunucunuzun gönderdiği zinciri ve Mozilla, Chrome, Apple ile Microsoft'un her birinin ona güvenip güvenmediğini gösterir. Ya da terminalden kontrol edin:

# List each certificate the server sends (s: subject, i: issuer)
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | grep -E ' [si]:'

# letsencrypt.org on 26 Oct 2026, a complete chain:
#  0 s:CN=letsencrypt.org
#    i:C=US, O=Let's Encrypt, CN=YE2
#  1 s:C=US, O=Let's Encrypt, CN=YE2
#    i:C=US, O=ISRG, CN=Root YE
#  2 s:C=US, O=ISRG, CN=Root YE
#    i:C=US, O=Internet Security Research Group, CN=ISRG Root X2
#  3 s:C=US, O=Internet Security Research Group, CN=ISRG Root X2
#    i:C=US, O=Internet Security Research Group, CN=ISRG Root X1
# Only certificate 0 listed = the intermediate is missing.

# nginx: point ssl_certificate at the full chain, not the leaf alone
ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

# Apache 2.4.8+
SSLCertificateFile    /etc/letsencrypt/live/example.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem

Düzeltme 3: Süresi Dolmuş Sertifikayı Yenileyin

Güvenilir bir CA'dan alınmış, süresi dolmuş bir sertifika bu hatayı değil ERR_CERT_DATE_INVALID gösterir. ERR_CERT_AUTHORITY_INVALID'i yalnızca zincir de güvenilmiyorsa görürsünüz; çünkü Chrome daha ciddi sorunu bildirir. Her iki durumda da tarihleri kontrol edin ve yenileyin:

# Check the certificate's dates
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -dates
# notBefore=Sep 30 12:00:00 2026 GMT
# notAfter=Dec 29 11:59:59 2026 GMT

# Renew now with Certbot, then reload the web server
sudo certbot renew --force-renewal
sudo systemctl reload nginx    # or apache2

Düzeltme 4: Ziyaretçilerin Kullandığı Her Adı Kapsayın

Adres çubuğundaki adı içermeyen güvenilir bir sertifika bunun yerine ERR_CERT_COMMON_NAME_INVALID gösterir. Yalnızca sertifikaya da güvenilmiyorsa bu hataya dönüşür; bu yüzden önce güveni, sonra adları düzeltin.

Tarayıcılar eski Common Name'e değil, yalnızca Subject Alternative Name listesine bakar. Joker karakterli bir sertifika (*.example.com) alt alan adlarının bir düzeyini kapsar ama example.com'un kendisini kapsamaz; talep ederken ikisini de listeleyin. SSL Checker bir sertifikanın tam ad listesini gösterir.

Düzeltme 5: Özel veya Şirket CA'sı Kullanma

İç siteler çoğu zaman bilerek bir şirket CA'sı kullanır. Bu yalnızca şirketin kök sertifikasının kurulu olduğu cihazlarda çalışır; Chrome ve Edge, Windows veya macOS'a eklenmiş bir köke güvenir (Chrome Root Store SSS). Bunu Grup İlkesi veya cihaz yönetim aracınızla dağıtın ya da elle ekleyin:

# Windows (Command Prompt as Administrator): trust for all users
certutil -addstore -f Root company-root.crt

# macOS: trust in the System keychain
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain company-root.crt

Localhost'ta ERR_CERT_AUTHORITY_INVALID (Geliştiriciler)

Kendinden imzalı sertifikalı yerel bir HTTPS sunucusu bu hatayı tasarım gereği gösterir. Uyarıyı geçmek yerine sertifikayı kendi makinenizde güvenilir yapın:

• mkcert — mkcert -install yerel bir CA oluşturur ve sisteminizin güven deposuna ekler (NSS'ten certutil kuruluysa Firefox'unkine de); ardından mkcert localhost 127.0.0.1 ::1 Chrome, Edge ve Firefox'un güvendiği bir sertifika üretir
• Next.js — next dev --experimental-https sizin için mkcert ile yerel olarak güvenilir bir sertifika oluşturur
• Vite — @vitejs/plugin-basic-ssl güvenilmeyen bir sertifika üretir, yani bu hatayı yine görürsünüz; server.https ayarını mkcert'in dosyalarına yöneltin
• Artık işe yaramayan eski ipuçları — chrome://flags/#allow-insecure-localhost anahtarının süresi Chrome 130'dan sonra doldu ve artık chrome://flags içinde yok

# Install mkcert (macOS)
brew install mkcert
mkcert -install

# Generate localhost certificate
mkcert localhost 127.0.0.1 ::1
# Creates: localhost+2.pem and localhost+2-key.pem

# Use with Node.js
const https = require('https');
const fs = require('fs');
https.createServer({
  cert: fs.readFileSync('localhost+2.pem'),
  key: fs.readFileSync('localhost+2-key.pem')
}, app).listen(3000);

İlgili SSL Sertifika Hataları

NET::ERR_CERT_AUTHORITY_INVALID, Chrome'un "Bağlantınız gizli değil" sayfasının arkasındaki birkaç sertifika hatasından biridir. Her kod farklı bir kontrole işaret eder: