ERR_SSL_VERSION_OR_CIPHER_MISMATCH: cách khắc phục (mọi trình duyệt)

ERR_SSL_VERSION_OR_CIPHER_MISMATCH là gì?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH nghĩa là trình duyệt và website không thống nhất được cách mã hóa kết nối. Chrome hiển thị “Trang web này không thể cung cấp kết nối an toàn” và “example.com sử dụng giao thức không được hỗ trợ.”; trong phần chi tiết có dòng “Ứng dụng và máy chủ không hỗ trợ bộ mã hóa hoặc phiên bản giao thức SSL thông thường.” Chromium liệt kê đây là lỗi -113 (net_error_list.h).

Lỗi xảy ra ở bước đầu tiên của quá trình bắt tay TLS (handshake). Trình duyệt gửi danh sách phiên bản TLS và bộ mã hóa (cipher suite) mà nó hỗ trợ; máy chủ phải chọn một phiên bản và một cipher trong đó. Nếu máy chủ không có gì chung với danh sách đó, trả lời bằng phiên bản mà trình duyệt không còn chấp nhận, hoặc từ chối tiếp tục vì không có chứng chỉ cho tên miền được yêu cầu, quá trình bắt tay sẽ dừng ngay tại đó.

Vì lỗi xảy ra trước khi bất kỳ chứng chỉ nào được kiểm tra, chứng chỉ hết hạn, sai tên hoặc chuỗi chứng chỉ lỗi sẽ hiện một lỗi khác (xem bảng ở cuối bài). Firefox hiển thị SSL_ERROR_NO_CYPHER_OVERLAP khi bị từ chối vì cipher hoặc chứng chỉ, và SSL_ERROR_UNSUPPORTED_VERSION với máy chủ chỉ hỗ trợ TLS 1.0/1.1.

Lỗi hiển thị như thế nào trên từng trình duyệt

Mọi trình duyệt nền Chromium (Chrome, Edge, Brave, Opera) đều hiển thị cùng một mã. Hãy tìm các thông báo sau:

Nguyên nhân gây ra ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

Nếu lỗi xuất hiện trên một website, nguyên nhân nằm ở máy chủ hoặc CDN của website đó. Nếu xuất hiện trên nhiều website, có thứ gì đó trên thiết bị hoặc mạng của bạn đang chen vào giữa. Các nguyên nhân:

• Máy chủ chỉ hỗ trợ TLS 1.0 hoặc 1.1. Chrome, Edge và Firefox bắt đầu chặn cả hai từ năm 2020 (Firefox 78, Chrome và Edge 84); từ Chrome 98 (2022) không còn cách nào vượt qua, và Chromium báo máy chủ như vậy bằng lỗi này (net_error_list.h).
• Máy chủ chỉ cung cấp cipher cũ, như RC4, 3DES hoặc các bộ mã hóa cấp xuất khẩu. Mã TLS của Chrome tắt hẳn 3DES, nên máy chủ không cung cấp gì khác sẽ không thể truy cập được.
• Không có chứng chỉ cho tên miền bạn nhập (trên một số CDN). Trên Cloudflare và CloudFront, một hostname không có chứng chỉ sẽ bị từ chối bắt tay ngay bước đầu. Trên Cloudflare đây là nguyên nhân thường gặp nhất: chứng chỉ vẫn đang được kích hoạt, bản ghi không bật proxy, chứng chỉ tùy chỉnh đã hết hạn mà không có chứng chỉ dự phòng, hoặc tên miền là tên miền phụ nhiều cấp (Cloudflare). Máy chủ nginx hoặc Apache thông thường sẽ gửi chứng chỉ mặc định của nó, và trình duyệt hiện cảnh báo sai tên.
• Có thứ gì đó nằm giữa: tính năng quét HTTPS của phần mềm diệt virus, proxy của công ty hoặc VPN mã hóa lại lưu lượng của bạn bằng cài đặt TLS cũ.
• Thiết bị hoặc trình duyệt quá cũ: Windows XP, Android 4.x và các trình duyệt nhiều năm không cập nhật không có TLS 1.2 hoặc các cipher mà máy chủ hiện nay yêu cầu.

Chúng tôi đã thử: máy chủ TLS cũ so với client hiện đại

Để cho thấy điều gì gây ra lỗi này, vào ngày 27 tháng 10 năm 2026 chúng tôi đã kết nối một client TLS hiện đại (OpenSSL 3.6) tới các máy chủ thử nghiệm công khai của badssl.com. Các máy chủ TLS 1.0 và 1.1 trả lời bằng phiên bản mà client không còn chấp nhận; các máy chủ RC4 và 3DES từ chối bằng cảnh báo handshake_failure. Chrome báo cả bốn trường hợp là ERR_SSL_VERSION_OR_CIPHER_MISMATCH:

Mở https://tls-v1-0.badssl.com:1010/ trong Chrome và bạn sẽ thấy đúng trang lỗi này. Nếu website của bạn hành xử giống bốn dòng đầu, hãy áp dụng các cách sửa dành cho chủ website bên dưới.

Cách khắc phục ERR_SSL_VERSION_OR_CIPHER_MISMATCH (cho người dùng)

Bạn không thể thay đổi máy chủ của một website, nên trước hết hãy xem lỗi thuộc về ai. Nếu chỉ một trang bị lỗi, hãy chuyển sang các cách sửa dành cho chủ website: chỉ chủ trang mới giải quyết được. Nếu nhiều trang bị lỗi, hãy thử các cách sau. (Tắt QUIC, một mẹo cũ, không có tác dụng ở đây: lỗi QUIC hiện ERR_QUIC_PROTOCOL_ERROR.)

Cách 1: kiểm tra xem có phải lỗi do trang web

Mở cùng trang đó trên thiết bị khác hoặc bằng dữ liệu di động. Nếu ở đó cũng lỗi, vấn đề nằm ở máy chủ.

Để có câu trả lời chắc chắn, hãy chạy trang qua SSL Checker của DNS Robot: với hầu hết máy chủ, công cụ liệt kê các phiên bản TLS được chấp nhận, và với trang trên Cloudflare, công cụ cho biết đã có chứng chỉ nào được cấp cho tên miền đó chưa. Trang chỉ chấp nhận TLS 1.0 hoặc 1.1 không mở được trên Chrome, Edge hay Firefox, và không có gì để nhấp qua: Chrome không có nút “vẫn tiếp tục” cho lỗi này.

Cách 2: cập nhật trình duyệt và hệ điều hành

Trình duyệt và hệ thống quá cũ không có TLS 1.2, TLS 1.3 hoặc các cipher mà máy chủ hiện dùng. Cập nhật Chrome tại chrome://settings/help và Edge tại edge://settings/help, sau đó cập nhật hệ điều hành.

Internet Explorer trên Windows XP và Vista, cùng trình duyệt mặc định trên Android 4.0-4.3, không có TLS 1.2 với các cipher ngày nay và lỗi trên hầu hết các trang HTTPS.

Cách 3: kiểm tra tính năng quét HTTPS của phần mềm diệt virus

Các phần mềm diệt virus quét HTTPS (Avast, Kaspersky, Bitdefender, ESET, Norton) đứng giữa mọi kết nối và tự tạo kết nối TLS tới website. Nếu cài đặt TLS của chúng đã lỗi thời, các trang yêu cầu TLS hiện đại sẽ lỗi.

Chỉ tắt phần quét HTTPS, mỗi phần mềm gọi một tên khác nhau (quét HTTPS của Web Shield trong Avast, lọc giao thức SSL/TLS trong ESET, quét web được mã hóa trong Bitdefender, quét kết nối được mã hóa trong Kaspersky), rồi tải lại trang. Nếu lỗi biến mất, hãy cập nhật phần mềm diệt virus hoặc thêm trang vào danh sách ngoại lệ thay vì để tính năng quét tắt.

Cách 4: ngắt kết nối VPN hoặc proxy

Proxy của công ty và các VPN có tính năng bảo vệ web hoặc kiểm tra HTTPS sẽ tự tạo kết nối TLS tới trang (đường hầm VPN thông thường thì không). Hãy ngắt kết nối rồi tải lại. Nếu trang mở được, hãy tắt tính năng đó hoặc nhờ nhà cung cấp (hay bộ phận IT của bạn) cập nhật cài đặt TLS.

Cách khắc phục ERR_SSL_VERSION_OR_CIPHER_MISMATCH (cho chủ website)

Nếu khách truy cập báo lỗi này trên website của bạn, máy chủ hoặc CDN trả lời ở cổng 443 không thống nhất được TLS với các trình duyệt hiện đại. Hãy kiểm tra bằng SSL Checker, sau đó:

Cách 1: đảm bảo mọi tên miền đều có chứng chỉ

Trên Cloudflare, CloudFront và một số CDN khác, hostname không có chứng chỉ sẽ bị từ chối bắt tay, và trình duyệt hiện lỗi này thay vì cảnh báo chứng chỉ. Máy chủ nginx hoặc Apache thông thường thường gửi chứng chỉ mặc định (ERR_CERT_COMMON_NAME_INVALID) hoặc, với ssl_reject_handshake của nginx, cảnh báo unrecognized_name (ERR_SSL_UNRECOGNIZED_NAME_ALERT). Hãy kiểm tra mọi tên mà khách truy cập dùng: example.com, www.example.com và từng tên miền phụ.

Chạy từng tên qua SSL Checker, hoặc thử từ terminal (OpenSSL 1.1.1 trở lên; nếu thấy “Could not find certificate”, máy chủ đã từ chối bắt tay với tên đó):

# Does the server present a certificate for this exact name?
openssl s_client -connect example.com:443 -servername www.example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName

# Which TLS versions and ciphers does it accept?
nmap --script ssl-enum-ciphers -p 443 example.com

Cách 2: bật TLS 1.2 và TLS 1.3

Mọi trình duyệt hiện nay đều cần ít nhất TLS 1.2. Hãy bật TLS 1.2 và TLS 1.3, không bật phiên bản cũ hơn:

# nginx (site config or nginx.conf)
ssl_protocols TLSv1.2 TLSv1.3;

# Apache (ssl.conf)
SSLProtocol -all +TLSv1.2 +TLSv1.3

# Then check the config and reload
sudo nginx -t && sudo systemctl reload nginx
sudo apachectl configtest && sudo systemctl reload apache2

Sau khi tải lại cấu hình, hãy kiểm tra lại bằng SSL Checker hoặc Qualys SSL Labs để xác nhận chỉ cung cấp TLS 1.2 và 1.3.

Cách 3: cung cấp bộ mã hóa (cipher suite) hiện đại

Khi đã bật TLS 1.2, máy chủ cần một cipher mà trình duyệt vẫn chấp nhận. Hãy cung cấp ECDHE với AES-GCM hoặc ChaCha20-Poly1305 (bộ của Mozilla); cipher RC4, 3DES, cấp xuất khẩu và NULL đều bị từ chối.

# nginx (TLS 1.2 ciphers; TLS 1.3 ciphers are always on)
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;

# Apache
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off

Cách 4: sửa lỗi dành riêng cho Cloudflare

Hướng dẫn riêng của Cloudflare cho lỗi này nói rằng lỗi xảy ra khi hostname không được chứng chỉ nào bao phủ (Cloudflare). Hãy kiểm tra theo thứ tự:

• Chứng chỉ đã hoạt động chưa? Tên miền mới nhận chứng chỉ Universal SSL trong khoảng 15 phút đến 24 giờ. Xem SSL/TLS → Edge Certificates: trạng thái phải là Active.
• Bản ghi DNS có bật proxy không? Chứng chỉ chỉ được trình bày cho bản ghi có proxy (đám mây màu cam). DNS Lookup của một tên có proxy trả về địa chỉ của Cloudflare chứ không phải của máy chủ bạn.
• Chứng chỉ tùy chỉnh có hết hạn không? Cloudflare gỡ nó sau khi hết hạn; nếu không có chứng chỉ nào khác đang hoạt động (như Universal SSL) bao phủ tên đó, khách truy cập sẽ thấy lỗi này thay vì cảnh báo chứng chỉ.
• Có phải tên miền phụ nhiều cấp không? Với thiết lập đầy đủ, Universal SSL chỉ bao phủ example.com và *.example.com, không bao phủ test.dev.example.com. Hãy dùng chứng chỉ Advanced hoặc tùy chỉnh, hoặc Total TLS (cần Advanced Certificate Manager).

Cách 5: kiểm tra các CDN và bộ cân bằng tải khác

Nếu CDN hoặc bộ cân bằng tải (CloudFront, Fastly, Akamai, bộ cân bằng tải của nhà cung cấp đám mây) kết thúc kết nối TLS, cài đặt của nó mới quyết định, không phải của máy chủ bạn:

• Một chứng chỉ cho mọi hostname, gắn vào đúng distribution hoặc listener
• TLS 1.2 tối thiểu trong chính sách bảo mật, cùng các cipher hiện đại
• Hỗ trợ SNI nếu nhiều tên miền dùng chung một địa chỉ IP

Cách kiểm tra cấu hình SSL của bạn

Sau khi thay đổi, hãy xác nhận cấu hình SSL đã đúng. Các công cụ này giúp bạn phát hiện sự cố trước khách truy cập.

• DNS Robot SSL Checker: kiểm tra nhanh trạng thái chứng chỉ, ngày hết hạn, độ đầy đủ của chuỗi chứng chỉ và đơn vị cấp. Có kết quả trong vài giây.
• Qualys SSL Labs: quét sâu phiên bản TLS, cipher suite, hỗ trợ giao thức và các lỗ hổng đã biết. Cho điểm bằng chữ cái (hãy nhắm tới A hoặc A+).
• OpenSSL CLI: kiểm tra từ dòng lệnh bằng openssl s_client -connect domain.com:443 để xem quá trình bắt tay thô, chuỗi chứng chỉ và cipher đã thương lượng.
• Chrome DevTools: trên một trang tải được, bảng Security (hoặc Privacy and security) hiển thị phiên bản TLS và cipher đang dùng.

# Quick check: protocol, cipher and certificate in a few lines
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -brief </dev/null

# Does it accept TLS 1.2? TLS 1.3?
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_2 -brief </dev/null
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com -tls1_3 -brief </dev/null

Các lỗi SSL/TLS liên quan

Chrome có nhiều lỗi TLS và chứng chỉ, mỗi lỗi đến từ một bước khác nhau:

Hướng dẫn cho các lỗi liên quan: ERR_SSL_PROTOCOL_ERROR, ERR_CERT_AUTHORITY_INVALID và Kết nối của bạn không phải là kết nối riêng tư.