ERR_BAD_SSL_CLIENT_AUTH_CERT: ошибка клиентского сертификата

Обычно в защищённом соединении удостоверяется только сервер. Но бывают системы с взаимной проверкой: сайт требует, чтобы клиент тоже предъявил сертификат. Так работают некоторые корпоративные порталы, банковские и государственные сервисы, системы доступа к внутренним ресурсам.

ERR_BAD_SSL_CLIENT_AUTH_CERT сообщает, что предъявленный сертификат клиента не принят или не удалось им воспользоваться: подпись не подошла, срок истёк, ключ недоступен или сертификат выдан не тем удостоверяющим центром, которому доверяет сервер.

Если ошибка появилась после обновления браузера, проверьте, не изменилось ли расположение хранилища сертификатов или совместимость плагина токена с новой версией.

Самая частая — сертификат просрочен, и об этом пользователь узнаёт только после ошибки. Вторая — выбран не тот сертификат, если в хранилище их несколько. Третья — закрытый ключ недоступен: токен или смарт-карта не вставлены, драйвер не работает, ключ помечен как неэкспортируемый и был потерян при переустановке системы.

Также встречаются проблемы цепочки: сервер не знает издателя сертификата или отозвал его. Иногда виноват криптопровайдер либо плагин, отвечающий за доступ к токену, особенно после обновления браузера.

Откройте менеджер сертификатов операционной системы и найдите личный сертификат. Посмотрите срок действия, назначение и наличие соответствующего закрытого ключа. Если ключа нет, сертификат нужно перевыпустить или восстановить из резервной копии.

Если используется токен, убедитесь, что он подключён и распознаётся системой, а нужная программа-драйвер запущена. Перезапустите браузер, чтобы он заново прочитал список доступных сертификатов.

Попробуйте другой браузер: если там вход проходит, причина в конкретном профиле или настройках Chrome. Проверьте дату и время на компьютере, они влияют на проверку срока.

Выберите правильный сертификат в окне выбора, если оно появилось. Продлите или перевыпустите просроченный сертификат через организацию, которая его выдала. Обновите драйвер токена и связанное программное обеспечение.

Очистите кеш SSL-состояния в системе: в Windows это делается в свойствах интернета на вкладке содержимого. После этого браузер заново предложит выбрать сертификат.

Если сертификат выдавался на другой компьютер или профиль, потребуется импортировать его вместе с закрытым ключом из защищённого файла с паролем.

Администратору стоит проверить, что в конфигурации указан актуальный список доверенных издателей клиентских сертификатов, что цепочка полная и что нет ошибок в проверке отзыва. Ошибки бывают при переносе сервера: старый список доверенных центров не был скопирован.

Пользователю в такой ситуации остаётся обратиться в поддержку сервиса, сообщив, какой сертификат используется и когда он был выдан. Нередко помогает и простая сверка: проверьте, что сертификат выдан на тот же центр и цепочку, что и у ваших коллег, у которых вход работает. Разница в издателе быстро выявляет источник проблемы.

Если ключ хранится на токене или смарт-карте, ошибка нередко вызвана процессом взаимодействия с ним. Браузер обращается к криптопровайдеру, тот просит PIN-код, и при неверном вводе или запертом устройстве подпись не создаётся. После нескольких неудачных попыток токен может заблокироваться, и снять ограничение способна только выдавшая организация.

Другая частая причина — несколько сертификатов на одном токене. Браузер предлагает выбор, и пользователь берёт не тот: например, для электронной подписи вместо аутентификации. Внимательно смотрите на назначение и срок каждого пункта в списке.

Если вы недавно меняли компьютер, потребуется установить драйверы и программное обеспечение поставщика токена заново. Без него система увидит устройство, но не сможет с ним работать.

Ведите учёт сроков действия клиентских сертификатов сотрудников и напоминайте о продлении заранее, за несколько недель. Просроченный документ в день срочной работы — самый частый и самый обидный источник этой ошибки.