Časté chyby SSL certifikátu vysvětlené
Každá hláška prohlížeče o certifikátu se dá svést na jednu z pěti příčin. Dvě z nich Lapsewatch hlídá automaticky — expiraci a selhání obnovy, a od září 2026 i to, jestli certifikát servírovaný na doméně vůbec tu doménu pokrývá. Zbylé tři jsou problém řetězu a důvěry, který nepředvídá žádný hlídač expirace, náš nevyjímaje.
Bez registrace. Skutečný výsledek za čtyři sekundy.
Pět chyb prostou řečí
Prohlížeče je pojmenovávají různě — ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID a podobně — ale každá se dá svést na jednu z těchhle pěti.
Certifikát vypršel
Datum konce platnosti je za námi. Prohlížeče blokují ve výchozím stavu, bez odkladu — certifikát je buď v platnosti, nebo není. Tohle je ta chyba, kterou zachytí jako první každý monitoring, náš nevyjímaje.
Nepokrývá tuhle doménu
Certifikát je skutečný a platný, ale jeho seznam SAN neobsahuje požadovanou doménu — často špatně nasměrovaný výchozí vhost, load balancer nebo reload, který po obnově nikdy neproběhl. Problém nikdy nebyl v zámečku, ale ve směrování.
Nedůvěryhodný vydavatel
Certifikát nepodepsala certifikační autorita, kterou zná úložiště důvěry prohlížeče — obvykle zapomenutý self-signed certifikát z testování, nebo interní CA určená pro firemní síť, ne veřejný web.
Neúplný řetěz
Server poslal koncový certifikát, ale ne mezilehlý certifikát, který ho spojuje s důvěryhodným kořenem. Některé prohlížeče si chybějící článek dohledají samy a nic neukážou; jiné ne — proto tahle chyba na různých zařízeních vypadá nekonzistentně.
Smíšený obsah
Stránka samotná se přes HTTPS načetla v pořádku, ale natahuje skript, obrázek nebo styl přes obyčejné HTTP. Prohlížeče na to upozorní jinou ikonou než na problém s certifikátem — s certifikátem to vůbec nesouvisí, návštěvníci to jen házejí do stejného pytle.
Co z tohohle Lapsewatch doopravdy hlídá
Dvě věci přímo: expiraci a selhání obnovy — sleduje se, jestli se obnovovací cyklus opravdu točí, ne odpočet dní — a od září 2026 i to, jestli certifikát servírovaný na doméně tu doménu vůbec pokrývá. Obojí se bere z živého spojení na port 443, nikdy ze souboru na disku ani záznamu registrátora.
Zbylé tři jsou problém důvěry a konfigurace, ne expirace, a říkáme to na rovinu místo předstírání opaku: kontrola certifikátu čte metadata z živého handshake — vydavatele, expiraci, sériové číslo, SAN — záměrně bez validace řetězu důvěry. Přiznaná mezera je lepší než sebejisté „všechno v pořádku".
Chyby SSL — odpovědi
Proč certifikát hlásí, že nepokrývá tuhle doménu, když ještě nevypršel?
Skoro vždycky jde o problém směrování, ne certifikátu: výchozí vhost webserveru, load balancer posílající provoz na špatný backend, nebo reload konfigurace, který po obnově nikdy neproběhl. Certifikát sám může být naprosto v pořádku — jeho seznam SAN prostě neobsahuje doménu, kterou návštěvník skutečně požadoval.
Znamená varování o SSL, že web někdo napadl?
Skoro nikdy. Naprostá většina varování o certifikátu pochází z vypršelého certifikátu, špatně nastaveného vhostu nebo chybějícího mezilehlého certifikátu — nudné provozní problémy, ne důkaz napadení. Varování znamená „tohle spojení se nedá ověřit jako důvěryhodné", ne „tenhle web je škodlivý".
Zachytí Lapsewatch rozbitý řetěz certifikátu nebo self-signed certifikát?
Ne, a stojí za to říct to na rovinu: kontrola certifikátu čte metadata z živého TLS handshake — expiraci, vydavatele, sériové číslo, SAN — bez validace řetězu důvěry. Je postavená na otázku „obnovilo se to včas a pokrývá to tuhle doménu", ne „důvěřoval by tomuhle řetězu každý prohlížeč". Problém s řetězem nebo důvěrou potřebuje vyloženě SSL sken, ne hlídače expirace.
Přestaň se o problémech s certifikátem dozvídat z prohlížeče návštěvníka
Pět domén zdarma, napořád, bez karty.
Začít zdarma