ERR_SSL_OBSOLETE_VERSION: сервер использует устаревшую версию TLS

ERR_SSL_OBSOLETE_VERSION появляется, когда сервер договаривается о защищённом соединении на версии протокола, признанной устаревшей. Современные браузеры больше не поддерживают TLS 1.0 и 1.1, а также предшествовавшие им SSL. В Chrome такой отказ показывается сообщением об устаревшей конфигурации безопасности.

Причина проста: в старых версиях найдены слабые места, а их алгоритмы устарели. Отказ — сознательный выбор разработчиков браузеров, а не сбой. Значит, избежать изменений на сервере обычно нельзя.

Обратите внимание, что сертификат и версия протокола настраиваются независимо: новый сертификат не спасёт сервер, который по-прежнему предлагает только устаревшие версии.

Чаще всего это старые внутренние системы: устройства с прошивкой многолетней давности, ERP и банковские клиенты, самописные порталы, серверы на давно не обновлявшихся операционных системах. Веб-серверу может быть указано ограничение версий протокола в конфигурации, оставшееся с прошлых лет.

Публичные сайты крупных компаний встречаются с этой проблемой редко. Для пользователя же бывает и обратная ситуация: браузер устарел настолько, что не понимает новые версии, но тогда чаще всего показывается другая ошибка про несовпадение версий или шифров.

Проверьте, какая версия протокола предлагается серверу: для этого есть внешние сервисы проверки настроек TLS, показывающие поддерживаемые версии и шифры. Если список заканчивается на TLS 1.0 или 1.1, причина найдена.

Затем откройте адрес в другом современном браузере. Если и он отказывает, проблема на сервере. Если один браузер открывает, а другой нет, различаются их политики, но и в этом случае правильнее обновить сервер, а не полагаться на устаревшие клиенты.

Полезно проверить, не отдаёт ли устаревшую конфигурацию промежуточное устройство: балансировщик или встроенный шлюз.

Включите TLS 1.2 и, где возможно, TLS 1.3, отключите SSL и TLS 1.0 с 1.1. Обновите библиотеки шифрования и веб-сервер до поддерживаемых версий. Проверьте набор шифров: он должен содержать современные варианты.

Если на устройстве прошивка не поддерживает новые версии, ищите обновление или размещайте перед ним обратный прокси, принимающий соединения по актуальному TLS и связывающийся с устройством внутри защищённого сегмента сети. Полностью отключать проверку в браузерах не стоит.

Проверьте, не оказалась ли проблема временной, и откройте сайт с другого устройства. Обновите браузер до актуальной версии. Если сайт принадлежит организации, сообщите ей об устаревшей конфигурации.

Если речь о внутреннем устройстве, выясните у администратора возможность обновить прошивку. Возвращать поддержку старых протоколов через скрытые флаги браузеров или реестр не рекомендуется: это снижает защиту всех ваших соединений. Если сайт нужен вам по работе, а его владелец недоступен, попросите коллег проверить с других устройств и уточните, не пользуются ли они специальным старым клиентом для этой системы.

Практически проверить сервер можно несколькими способами. Онлайн-сервисы анализа TLS показывают перечень поддерживаемых версий и оценку конфигурации. Утилита openssl позволяет запросить соединение с конкретной версией протокола и посмотреть, принимает ли её сервер. Сканеры конфигурации в составе средств безопасности дают отчёт сразу по нескольким узлам.

Отдельно посмотрите на службы вокруг сайта: почтовые, почтовые шлюзы, панели управления. Нередко веб-сайт уже обновлён, а вспомогательные порты продолжают отвечать по TLS 1.0. Браузер может столкнуться с ними при загрузке встроенных ресурсов.

После исправления повторите проверку и убедитесь, что клиенты, которым нужна совместимость, действительно поддерживают TLS 1.2. Современные устройства и системы почти без исключений его понимают.

Составьте инвентаризацию: список служб, которые принимают защищённые соединения, и версия протокола у каждой. Такой список экономит время при любом ужесточении требований и не даёт старым узлам оставаться незамеченными годами.