NET::ERR_CERT_REVOKED: сертификат сайта отозван

Сообщение NET::ERR_CERT_REVOKED говорит о том, что сертификат сайта был отозван издателем до окончания срока действия. Пока срок не вышел, сам по себе он выглядит валидным, но удостоверяющий центр объявил его недействительным, и браузер отказывается ему доверять.

Отзыв — штатный механизм. Им пользуются, когда закрытый ключ мог быть скомпрометирован, когда сертификат выпущен с ошибкой, когда владелец домена сменился или когда сам владелец попросил заменить документ. Поэтому появление ошибки не обязательно означает взлом, но серьёзный сигнал безопасности это всегда.

Если ошибка появилась внезапно у сервиса, которым вы пользуетесь каждый день, поищите официальное сообщение об инциденте на странице статуса сервиса: такие уведомления часто объясняют, когда ждать исправления.

Информация об отозванных сертификатах распространяется через списки отзыва (CRL) и протокол онлайн-проверки статуса (OCSP). Владелец сайта может также «прикрепить» ответ OCSP к рукопожатию, чтобы клиенту не приходилось ходить к издателю самому.

Chrome использует собственные наборы данных об отзыве, которые обновляются вместе с браузером, и для части случаев проверяет статус иначе, чем другие программы. Отсюда следствие: один и тот же сайт в разных браузерах может вести себя по-разному, а устаревший браузер способен пропустить отзыв, о котором знает свежий.

Чаще всего сертификат действительно отозван, а владелец сайта не успел заменить его на новый. Так бывает после инцидентов безопасности и массовых отзывов, когда издатель обнаруживает проблему у нескольких клиентов сразу.

Реже причина в подмене: локальная программа, которая перехватывает трафик, подставляет собственный сертификат, чей статус проверить невозможно, либо выдаёт устаревшее значение. Также бывают сбои на стороне кеша: старая запись о статусе задерживается в системе после того, как проблема уже исправлена.

Откройте сведения о сертификате и найдите издателя и даты. Затем сравните поведение в другом браузере и на другом устройстве. Если везде предупреждение одинаково, сертификат действительно отозван, а исправить это может только владелец сайта.

Если предупреждение видно только на вашем компьютере, обновите браузер и операционную систему, проверьте дату и время, временно отключите проверку защищённых соединений в антивирусе. Перезапустите браузер после этого.

Не пытайтесь отключать проверку отзыва в системных параметрах ради одного сайта: это ослабляет защиту для всех остальных.

Нужно выпустить новый сертификат, при необходимости с новым закрытым ключом, и установить его на все серверы, балансировщики и CDN. Старый ключ следует считать скомпрометированным и не использовать повторно.

После замены перезагрузите службы, отдающие сертификат, и проверьте цепочку на каждом узле: часто отозванный документ остаётся на одной из машин кластера. Убедитесь, что автоматическое продление сертификатов настроено и не тянет за собой старую версию из кеша.

Стоит понимать, как это выглядит для владельца. Обычно издатель уведомляет о предстоящем отзыве заранее, если причина технического характера. При компрометации ключа отзыв делается быстро, и времени на подготовку нет. Поэтому автоматическое продление и переустановка сертификатов на всех узлах — обязательная часть эксплуатации.

Для посетителя надёжных признаков, помогающих отличить случайность от инцидента, нет. Зато есть здравый подход: не вводить конфиденциальные данные на странице с отозванным сертификатом, вернуться позже и, если необходимо срочно выполнить действие, воспользоваться официальным приложением сервиса либо другим каналом связи.

Обратите внимание и на дату: массовые отзывы иногда затрагивают множество сайтов одновременно, и о них пишут технические издания. Это помогает понять, что проблема не в вашем устройстве.

Если вы отвечаете за сайт, подпишитесь на уведомления вашего удостоверяющего центра и настройте мониторинг цепочки. Тогда вы узнаете об отзыве раньше посетителей и успеете заменить документ без потери трафика и доверия.