Сертификат не является доверенным: причины и решение
Сообщение «сертификат не является доверенным» значит, что браузер или программа не смогли построить цепочку от сертификата сайта до корня, которому доверяет система. Чаще всего сервер не отдал промежуточный сертификат, реже сертификат самоподписанный или устройство не знает центр сертификации.
Ответ за 30 секунд
Сначала проверьте, что отдаёт сервер: сертификат без промежуточного даёт эту ошибку в curl, Java и на части телефонов, хотя в Chrome на ноутбуке сайт открывается. Почините цепочку, а не отключайте проверку.
В линейке Таймвеб Let's Encrypt и GlobalSign: их корни есть в браузерах и системах. Возврат любого сертификата за 7 дней.
Что делать с корпоративным или самоподписанным сертификатом21код openssl: нет первого сертификата
fullchainфайл, который нужен серверу
7.1.1с этой версии Android знает ISRG Root X1
01 · 1 мин
Почему сертификат оказывается недоверенным: пять причин#
Браузер доверяет корневым центрам сертификации, список которых лежит в системе. Сертификат сайта подписан не корнем, а промежуточным центром, и доказать связь до корня должен сервер. Разрыв в любом месте и даёт эту ошибку. Как устроена цепочка: цепочка сертификатов и корневой сертификат.
| Причина | Как узнать |
|---|---|
| Сервер не отдаёт промежуточный сертификат | Код 21 в openssl, Chain issues: Incomplete в SSL Labs |
| Сертификат самоподписанный | Издатель совпадает с владельцем, код 18 |
| Корпоративный или закрытый центр | Издатель неизвестный, на других устройствах тоже ошибка |
| Старая система не знает корня | Работает на новом телефоне, не работает на старом |
| Антивирус или прокси подменяет сертификат | Издатель в окне сертификата называет программу, а не центр |
02 · 1 мин
Как проверить, не отдаёт ли сервер промежуточный сертификат#
openssl s_client -connect mysite.ru:443 -servername mysite.ru 2>/dev/null | grep -E "Verify return code|^ *[0-9] s:"Если вместо Verify return code: 0 (ok) стоит 20 или 21, а в списке сертификатов одна строка, промежуточного нет. Chrome справляется, потому что докачивает его по ссылке из сертификата (механизм AIA), а curl, Java и Python этого не делают. Подробно: проверка цепочки сертификата.
03 · 1 мин
Как владельцу исправить недоверенный сертификат#
Отдавайте сертификат сайта вместе с промежуточными одним файлом, причём сертификат сайта должен идти первым. У Let's Encrypt такой файл уже готов и называется fullchain.pem.
# Nginx
ssl_certificate /etc/letsencrypt/live/mysite.ru/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mysite.ru/privkey.pem;
# Apache 2.4.8 и новее
SSLCertificateFile /etc/letsencrypt/live/mysite.ru/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/mysite.ru/privkey.pem
# для платного сертификата склейте файлы: сайт первым
cat site.crt intermediate.crt > fullchain.crtПосле правки перезагрузите веб-сервер и повторите проверку. Конфиги целиком: SSL на Nginx и SSL на Apache.
Инструмент · 1 мин
Что делать с корпоративным или самоподписанным сертификатом#
Для внутреннего сервиса можно добавить корневой сертификат вашей компании в доверенные на каждом устройстве. В Windows это оснастка certmgr.msc и раздел «Доверенные корневые центры сертификации». Для публичного сайта путь один: сертификат от общепризнанного центра.
Корень ставьте только от тех, кому доверяете
Установленный корневой сертификат позволяет его владельцу выпускать «подлинные» сертификаты на любые сайты. Не устанавливайте корень по просьбе незнакомого сайта или приложения.
Что делать с недоверенным сертификатом
Ответьте на два вопроса, и получите шаг
05 · 1 мин
Почему старый телефон или телевизор не доверяет новому сертификату#
Список корней зашит в систему. Телефоны на Android до 7.1.1 не знают корень ISRG Root X1, на котором держатся сертификаты Let's Encrypt, а старые телевизоры и приставки не получают обновлений совсем. Лечится обновлением системы. Если устройство обновить нельзя, остаётся открывать сайт через другое устройство.
06 · 1 мин
Вопросы о недоверенном сертификате#
Что значит «ssl сертификат не является доверенным» в программе или на телефоне?
Программа не нашла путь от сертификата сервера до корня из своего списка доверия. Причины: нет промежуточного на сервере, самоподписанный сертификат или устройство не знает центр.
Как исправить ошибку доверенного сертификата в корпоративном сервисе вроде ktalk?
Администратору нужно отдавать полную цепочку или установить корень компании на устройства. Пользователю помогают обновление программы и системы.
Можно ли игнорировать недоверенный сертификат?
Для чужого сайта нет: защита от подмены пропадает. Для собственного тестового сервера можно добавить сертификат в доверенные.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: SSL-сертификаты Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; Let's Encrypt: документация, letsencrypt.org/docs, проверено 19 октября 2026.
Подключите SSL к сайту
От бесплатного Let's Encrypt до платных сертификатов GlobalSign с гарантийной выплатой и установкой под ключ. Любой можно вернуть за 7 дней.
- Бесплатный Let's Encrypt на домен
- Платные от 1 000 ₽ за 6 месяцев
- Wildcard на все поддомены
- 7 дней на возврат