ERR_SSL_CLIENT_AUTH_CERT_NEEDED: сайт требует клиентский сертификат

ERR_SSL_CLIENT_AUTH_CERT_NEEDED означает, что сервер в процессе установления защищённого канала потребовал сертификат клиента, но браузер не смог его отправить: подходящего сертификата в хранилище нет, окно выбора не показано либо пользователь отказался.

Взаимная проверка применяется в закрытых системах: корпоративных порталах, внутренних панелях, отдельных государственных и банковских сервисах, устройствах управления. Публичный сайт без такой схемы никогда не запросит сертификат, поэтому появление ошибки на обычном ресурсе говорит либо о неверной настройке, либо об открытии не того адреса.

Чаще всего сертификат просто не установлен на этом компьютере или в этом профиле. Выдавали его на другую машину, а на новой забыли перенести. Затем идёт просроченный документ, который браузер не предлагает к выбору. Далее — сертификат выдан центром, которому сервер не доверяет.

Ещё частые случаи: токен или смарт-карта с ключом не подключены, драйвер не работает, браузер запущен до подключения токена и не видит его. Наконец, возможна ошибка на сервере, когда проверка включена там, где не должна, например на публичной странице после неудачной правки конфигурации.

Откройте менеджер сертификатов операционной системы и найдите личные сертификаты. Убедитесь, что нужный присутствует, не просрочен и имеет закрытый ключ. Если используется токен, проверьте его подключение и работу драйвера, затем полностью перезапустите браузер.

Проверьте адрес: возможно, вы открыли основной адрес, а клиентский сертификат нужен только для другого. Попробуйте другой браузер и профиль. Если в другом сертификат виден, а в Chrome нет, различается хранилище, из которого они читаются.

Очистите кеш SSL-состояния в системных настройках интернета: это заставит браузер заново запросить выбор сертификата.

Установите или импортируйте сертификат вместе с закрытым ключом из файла с паролем, который выдала организация. Продлите просроченный. Подключите токен и обновите драйверы. Если сертификата у вас никогда не было, обратитесь к администратору сервиса и запросите его выдачу.

При правильной установке при следующем открытии сайта браузер покажет окно выбора сертификата: выберите нужный и подтвердите использование ключа PIN-кодом, если он требуется. Не устанавливайте сертификаты из непроверенных источников.

Когда вы открываете публичный ресурс и внезапно видите такое требование, сообщите владельцу: вероятно, в конфигурации веб-сервера включено обязательное требование клиентского сертификата глобально, а не только для нужного раздела.

Администраторам стоит применять режим необязательной проверки там, где допустим вход и без сертификата, и ограничивать обязательную проверку конкретными путями или именами. Уточните у администратора, нужен ли сертификат для всех разделов сайта или только для закрытой части, и попросите проверить, что общедоступные страницы не защищены обязательной проверкой.

Если организация выдала вам файл сертификата с закрытым ключом, обычно это архив с паролем. Откройте его через мастер импорта операционной системы, выберите хранилище личных сертификатов текущего пользователя и введите пароль. Отметьте, что ключ не следует помечать экспортируемым, если этого не требуют правила организации.

После импорта закройте браузер полностью и откройте сайт снова. Появится окно выбора сертификата, в котором будет виден ваш документ, издатель и срок действия. Выберите его и подтвердите.

Если окна нет, проверьте, что сертификат находится в личном хранилище, а не в хранилище компьютера или доверенных корневых. Проверьте также, что он подписан издателем, которого сервер называет допустимым. Хранить резервную копию файла сертификата следует в защищённом месте, а не в общей папке или мессенджере.

Для новых сотрудников подготовьте краткую памятку по установке сертификата и проверке его срока. Обращения по этой ошибке чаще всего вызваны не сбоями сервера, а тем, что человек не знал, что сертификат нужен и где он должен находиться.