Что делать, если Android блокирует HTTPS‑сайт (ошибка сертификата)

Короткий ответ: проверьте дату/время устройства, сеть (VPN/прокси/корпоративный инспектор), и серверную цепочку сертификатов (нужен fullchain). Если проблема на одном сайте — скорее всего сервер не отдает промежуточные сертификаты; если на многих — скорее дело в устройстве или сети.

Почему появляется ошибка сертификата

• Неверная дата или часовой пояс на устройстве — сертификат считается просроченным или ещё не действительным.
• Сервер не отдает полную цепочку (от leaf до промежуточных) — мобильные клиенты особенно чувствительны.
• Корневой CA отсутствует в старом хранилище Android (особенно на Android ≤7).
• Антивирус/корпоративный прокси ставит свой корневой сертификат и выполняет HTTPS‑инспекцию.
• Подмена DNS/ captive‑portal публичного Wi‑Fi или вредоносная точка доступа — возможная MITM‑угроза.

Что проверить и сделать обычному пользователю (5–10 минут)

1. Включите автоматическую дату и время в настройках устройства.
2. Перезагрузите телефон и повторите попытку.
3. Попробуйте открыть сайт в другом браузере (например, Firefox на Android часто использует собственный список доверенных CA). Если в другом браузере сайт открывается — проблема в системном хранилище или цепочке.
4. Отключите VPN/Proxy и любые приложения для «безопасного интернета» (антивирус с HTTPS‑сканированием) и попробуйте снова.
5. Переключитесь на другую сеть (мобильный интернет вместо Wi‑Fi). Если в другой сети всё ок — проблема в текущей сети.
6. Очистите кэш браузера или откройте страницу в режиме инкогнито.
7. При массовых ошибках на всех сайтах — сделайте сброс сетевых настроек.

Что проверить владельцу сайта / администратору

1. Просканируйте домен инструментом проверки SSL — он укажет на неполную цепочку, устаревшие протоколы или проблемы с OCSP.
2. Установите и отдавайте fullchain (leaf + все промежуточные сертификаты) в конфигурации сервера (Nginx/Apache). Порядок: сначала сертификат сервера, затем промежуточные. Root обычно не нужен.
3. Включите OCSP stapling и убедитесь, что SNI и TLS настроены корректно.
4. Проверьте, не отдает ли сервер просроченные или лишние промежуточные сертификаты — это тоже вызывает ошибки у некоторых клиентов.
5. Для диагностики используйте команду (на сервере или локально):
   openssl s_client -connect yoursite.example:443 -showcerts
   — команда покажет цепочку, которую сервер передает.
6. Учтите несовместимость некоторых цепочек с очень старыми версиями Android; при массовых жалобах от устройств ≤7 рассмотрите альтернативную цепочку или инструкцию для пользователей.

Частые ошибки

• Установлен только leaf‑сертификат, нет промежуточного — мобильные браузеры не могут собрать цепочку доверия.
• В конфиге сервер перечислен неправильный порядок сертификатов.
• Оставлен просроченный промежуточный сертификат в пакете.
• Антивирус или MDM подменили сертификат и не доверяют системному хранилищу.

FAQ

• Можно ли безопасно «продолжить» при ошибке?
  Только если вы уверены в сети и причина точно локальна (например, вы меняли дату). В остальных случаях — нет.
• Почему сайт работает на ПК, но не на Android?
  ПК‑браузеры могут иметь более полный набор доверенных корней или кеш промежуточных сертификатов; мобильные клиенты строго требуют корректной цепочки от сервера.
• Что такое fullchain?
  Это файл, содержащий сертификат сервера (leaf) и все промежуточные сертификаты в правильном порядке, который должен отдавать веб‑сервер.

Короткий чеклист для быстрого решения: синхронизировать дату/время, сменить сеть, временно отключить VPN/антивирус, проверить сайт через проверку SSL и убедиться, что сервер отдает fullchain. Если хотите — пришлите домен и симптомы, и администратор или специалист может подсказать конкретную правку конфигурации.