Firefox SSL_ERROR_NO_CYPHER_OVERLAP: у браузера и сервера нет общих шифров

При установке защищённого соединения клиент и сервер обмениваются списками поддерживаемых наборов шифров и выбирают общий. Ошибка SSL_ERROR_NO_CYPHER_OVERLAP возникает, если пересечение пусто: ничего из предложенного одной стороной не подходит другой. Дальше разговор невозможен, и Firefox сообщает, что безопасное соединение не удалось.

Слово «cypher» в коде записано с необычной орфографией, но смысл тот же, что и у cipher: алгоритм шифрования и обмена ключами.

Если проблема возникла после недавних обновлений сервера, сравните конфигурацию до и после: часто достаточно вернуть один-два шифра, чтобы клиенты снова подключились.

Самая типичная причина — сервер настроен слишком жёстко и оставил только узкий набор современных шифров, а клиент предлагает другие. Наоборот тоже бывает: сервер держит только устаревшие шифры, которые современные браузеры давно исключили из списка.

Третий вариант — старая версия Firefox или системной библиотеки, не знающая нужных алгоритмов. Четвёртый — промежуточное ПО: антивирус, прокси или шлюз, вмешивающийся в рукопожатие и предлагающий свой ограниченный список. Пятый — ручная правка параметров безопасности в служебном разделе настроек Firefox, после чего часть шифров отключена.

Обновите Firefox: новые версии добавляют поддержку современных алгоритмов. Откройте сайт в другом браузере и на другом устройстве, чтобы понять, где проявляется ошибка. Если проблема только у вас, проверьте, не менялись ли служебные настройки безопасности: параметры, начинающиеся с security.ssl3, в разделе расширенных настроек.

Если вы правили их сами, верните значения по умолчанию через контекстное меню. Затем отключите на время антивирус с проверкой HTTPS и попробуйте снова. Если ошибка ушла, найдите в его настройках раздел защищённых соединений и обновите программу.

Не включайте устаревшие шифры и протоколы ради открытия конкретной страницы. Это возвращает уязвимости, от которых защита была отключена намеренно, и оставляет их для всех сайтов, а не только для одного. Не подтверждайте установку сомнительных «исправителей сертификатов» из интернета.

Если страница нужна срочно, а её сервер явно устарел, безопаснее отложить работу с ней или воспользоваться заведомо современным клиентом. Особенно это касается страниц с личными данными.

Проверьте конфигурацию TLS публичным анализатором. Посмотрите, какие версии протокола и наборы шифров включены. Разумный подход — поддерживать современные версии TLS и набор шифров, совместимый с массовыми клиентами, не оставляя заведомо слабых.

Если вы недавно применяли шаблон «максимальной безопасности» и после этого пошли жалобы, значит, шаблон исключил шифры, нужные части клиентов. Подберите набор по официальным рекомендациям поставщика ПО сервера и перезапустите службу. Не забудьте про балансировщик или CDN: у них своя настройка, отдельная от основного сервера.

Наборы шифров записываются длинными названиями, в которых зашифрованы алгоритмы обмена ключами, шифрования и проверки целостности. Разбирать их вручную не нужно: достаточно понимать, что список бывает современным и устаревшим. Современные наборы используют эфемерные ключи и режимы аутентифицированного шифрования, устаревшие опираются на давно ослабленные алгоритмы.

Ошибка чаще всего возникает на стыке: клиент отказался от устаревших наборов, а сервер не добавил современные. Для администратора практическое правило простое: возьмите рекомендуемый профиль для своего веб-сервера из официальной документации, включите современные версии TLS и проверьте результат анализатором. Профиль «совместимый» подходит для широкой аудитории, профиль «современный» — только для свежих клиентов, и выбор зависит от того, кто у вас на сайте.

Что записать при обращении к владельцу: Для владельца сайта самая ценная информация — версия браузера, операционная система, точное время попытки и результат в другом браузере. По этим данным он сравнит ваш набор шифров с настройками сервера. Если вы используете нестандартный клиент или старое устройство, упомяните об этом сразу: тогда понятно, что проблема в совместимости, а не в случайном сбое.