Błąd ERR_CERT_UNABLE_TO_CHECK_REVOCATION – przyczyny i naprawa

Błąd ERRCERTUNABLETOCHECK_REVOCATION oznacza, że przeglądarka nie mogła zweryfikować, czy certyfikat SSL strony został unieważniony. Jest to problem dotyczący bezpieczeństwa transmisji HTTPS – zarówno dla webmastera, jak i użytkownika końcowego, może skutkować zablokowaniem dostępu do witryny lub ostrzeżeniem o zagrożeniu. Poniższy poradnik wyjaśnia przyczyny, mechanizmy działania, konsekwencje oraz sposoby rozwiązania problemu po stronie serwera/strony i klienta/użytkownika.

Czym jest błąd ERRCERTUNABLETOCHECK_REVOCATION?

• Dotyczy nieweryfikowalności statusu unieważnienia certyfikatu SSL – przeglądarka nie może sprawdzić, czy certyfikat został cofnięty przez wystawcę (CA – Certificate Authority).
• Implementacja tej kontroli odbywa się głównie przez protokoły CRL (Certificate Revocation List) oraz OCSP (Online Certificate Status Protocol).
• Błąd oznacza, że przeglądarka nie mogła uzyskać informacji o statusie certyfikatu i co do zasady traktuje to jako potencjalne zagrożenie.

Potencjalne przyczyny błędu

Po stronie serwera/strony –

• Brak dostępności do serwerów OCSP/CRL, np. błędna konfiguracja, problem z łącznością sieciową lub blokada portów.
• Wydawca certyfikatu (CA) lub konfiguracja serwera uniemożliwia klientom sprawdzenie statusu unieważnienia.
• Użycie przestarzałego lub niewłaściwie wgranie certyfikatu po stronie serwera.

Po stronie klienta (użytkownika) –

• Zapora (firewall), antywirus lub inne oprogramowanie zabezpieczające blokuje połączenie z serwerami OCSP/CRL.
• Problemy z połączeniem internetowym (np. proxy, VPN, błąd DNS).
• Błędna data i godzina systemowa.
• Przestarzała przeglądarka lub system operacyjny.

Skutki błędu

• Witryna jest blokowana lub wyświetla ostrzeżenie o bezpieczeństwie.
• Użytkownik może nie mieć dostępu do serwisu pomimo poprawnej konfiguracji po stronie serwera.
• Negatywny wpływ na wiarygodność oraz konwersję strony internetowej.

Instrukcje krok po kroku – rozwiązanie dla webmastera/web dewelopera

1. Diagnostyka certyfikatu –

• Sprawdź certyfikat SSL/TLS na stronie, np. za pomocą narzędzi online diagnostyki certyfikatu (np. certyfikatu SSL Checker).
• Zwróć uwagę na komunikaty dotyczące zapisów do CRL/OCSP.

1. Weryfikacja dostępności serwerów OCSP/CRL –

• Sprawdź, czy serwer (oraz lokalne połączenie) może nawiązać połączenie z adresami OCSP i CRL zawartymi w certyfikacie.
• Przetestuj polecenie curl lub narzędzie przeglądarki do pobrania adresu OCSP/CRL.

1. Aktualizacja lub ponowny zakup certyfikatu –

• W przypadku stwierdzenia, że certyfikat został unieważniony, należy zamówić i wgrać nowy certyfikat SSL/TLS.

1. Konfiguracja serwera www –

• Upewnij się, że serwer nie blokuje ruchu do serwerów OCSP/CRL (firewall, outbound rules).
• Przy wdrażaniu rozwiązania typu OCSP stapling (zalecane) ustaw poprawnie konfigurację, by serwer sam dostarczał status OCSP klientowi.

1. Test po zmianach –

• Po zmianach zrestartuj usługę serwera www i przetestuj stronę z różnych lokalizacji oraz urządzeń.

Instrukcje krok po kroku – rozwiązanie dla użytkownika końcowego

1. Sprawdzenie daty i godziny –

• Upewnij się, że masz poprawnie ustawioną datę oraz godzinę w systemie operacyjnym.

1. Wyłączenie/proba ustawienia antywirusa lub firewalla –

• Tymczasowo wyłącz programy antywirusowe oraz zapory sieciowe (szczególnie te z funkcjami filtrowania SSL/HTTPS).

1. Sprawdzenie połączenia internetowego –

• Spróbuj połączyć się z inną siecią, wyłącz VPN, albo przełącz z sieci komórkowej na Wi-Fi i odwrotnie.

1. Aktualizacja przeglądarki/systemu operacyjnego –

• Zainstaluj najnowsze aktualizacje przeglądarki i systemu oraz uruchom ponownie komputer.

1. Wyczyszczenie cache przeglądarki –

• Usuń pamięć podręczną i pliki cookies.

1. Sprawdzenie dodatkowych rozszerzeń –

• Wyłącz wszystkie rozszerzenia i wtyczki w przeglądarce mogące blokować ruch sieciowy (np. AdBlock, Privacy Badger).

1. Ręczne sprawdzenie statusu CRLSet/OCSP w Chrome/Edge –

• W przypadku Google Chrome/Edge wpisz w pasku adresu:
  chrome://components lub edge://components
• Znajdź pozycję CRLSet/OCSP i kliknij „Check for update”. Status powinien być „Up to date”.

Najczęstsze pytania i wyjaśnienia

• Czy błąd dotyczy tylko przeglądarek Chrome/Edge?
  Nie. Występuje też w Firefox czy Safari, jednak kod błędu/nazwa mogą być inne.
• Czy można „ominąć” ten błąd?
  Zdecydowanie nie zaleca się ignorowania błędu, bo zwiększa to ryzyko ataku typu man-in-the-middle.
• Czy problem zawsze leży po stronie serwera?
  Najczęściej tak, ale czasami winne są ustawienia komputera użytkownika lub konfiguracja sieci.

Wskazówki dla zaawansowanych

• W przypadku serwerów obsługujących wiele domen (SNI) warto indywidualnie sprawdzić każdy certyfikat.
• Logi serwera (np. nginx, Apache) mogą zawierać dodatkowe informacje o błędach walidacji OCSP/CRL.
• Po stronie klienta zaawansowanego możliwe jest sprawdzenie, czy porty oraz zapytania UDP/TCP do serwerów OCSP/CRL nie są blokowane przez firmowe proxy/firewall.

Podsumowując –
ERRCERTUNABLETOCHECK_REVOCATION to sygnał, że weryfikacja bezpieczeństwa transmisji HTTPS nie mogła zostać dokończona. Jeśli jesteś webmasterem – sprawdź konfigurację serwera, dostępność OCSP/CRL, wymień certyfikat, jeśli trzeba. Jeśli jesteś użytkownikiem – sprawdź ustawienia zegara, internet, antywirusa, cache przeglądarki i komponenty związane ze sprawdzaniem unieważnień. Nie ignoruj tego błędu – chronisz dane swoje i odwiedzających.