Certyfikat SSL i czerwony ekran.

Że przeglądarka nawiązała połączenie, ale nie potrafi potwierdzić tożsamości serwera na podstawie przedstawionego certyfikatu. Sam komunikat nie mówi, że strona jest zhakowana. Najczęściej oznacza jedną z czterech rzeczy: certyfikat wygasł, został wystawiony na inną nazwę niż ta w pasku adresu, nie da się zbudować od niego łańcucha do zaufanego wystawcy albo jest podpisany samodzielnie. Dokładną przyczynę podaje kod błędu pod komunikatem i to jego trzeba przeczytać, bo każda z tych sytuacji ma inną naprawę.

W typowej stronie firmowej nie. Certyfikat darmowy z Let's Encrypt szyfruje transmisję dokładnie tak samo jak certyfikat płatny, bo używa tych samych algorytmów, i przeglądarki traktują oba identycznie. Różnica dotyczy nie siły szyfrowania, tylko zakresu weryfikacji wystawcy oraz dodatków handlowych: gwarancji finansowych i obsługi. Certyfikat płatny bywa uzasadniony przy potrzebie objęcia wszystkich subdomen jednym certyfikatem albo przy wymogu weryfikacji organizacji narzuconym przez kontrahenta. Jeśli ktoś sprzedaje płatny certyfikat argumentem o lepszym bezpieczeństwie strony, argument jest nieprawdziwy.

Bo automat odnawiający przestał działać, a nikt tego nie zauważył. Typowe przyczyny to zmiana konfiguracji serwera po aktualizacji, przeniesienie strony na inny hosting bez przeniesienia zadania odnawiającego, przekierowanie na poziomie serwera blokujące ścieżkę weryfikacyjną oraz zmiana rekordów domeny. Certyfikaty darmowe są ważne dziewięćdziesiąt dni właśnie po to, żeby wymuszać automatyzację, ale automat bez nadzoru psuje się po cichu i objaw pojawia się dopiero w dniu wygaśnięcia, zwykle w weekend.

Najczęściej z powodu mieszanej treści. Strona jest serwowana po HTTPS, ale wczytuje część zasobów po HTTP: zdjęcia, arkusz stylów, skrypt albo osadzoną mapę. Przeglądarka blokuje wtedy część zasobów i nie pokazuje pełnego oznaczenia bezpiecznego połączenia, mimo że certyfikat jest w porządku. Drugi powód to brak przekierowania z wersji nieszyfrowanej: adres z HTTPS działa, ale odwiedzający wchodzą na wersję bez szyfrowania, bo tak mają w zakładkach i tak podaje wyszukiwarka.

Prawie zawsze niepełny łańcuch zaufania. Serwer wysyła sam certyfikat strony, bez certyfikatu pośredniego, a przeglądarka na Twoim komputerze ma go w pamięci z innej witryny i uzupełnia sobie brak po cichu. Urządzenie, które go nie ma, nie potrafi dokończyć łańcucha i pokazuje ostrzeżenie. Dlatego ten błąd tak często wygląda na problem po stronie klienta i najczęściej dotyczy telefonów oraz starszych systemów. Rozstrzyga go zewnętrzny test, a nie odświeżenie strony u siebie.

Szyfrowane połączenie jest jednym z sygnałów branych pod uwagę w wyszukiwarce, ale realny koszt jest gdzie indziej. Ostrzeżenie na pełnym ekranie przerywa wejście zanim ktokolwiek zobaczy treść, więc traci się nie pozycję, tylko wszystkie wejścia z tej pozycji. Przy formularzu kontaktowym dochodzi drugi problem: dane z formularza na stronie bez szyfrowania idą przez sieć otwartym tekstem, co przy danych osobowych jest brakiem podstawowego środka bezpieczeństwa.