Błąd ERR_CT_STH_INCOMPLETE – przyczyny i naprawa

Błąd ERRCTSTHINCOMPLETE (lub podobny: np. NET::ERRCERTAUTHORITYINVALID, SECERRORUNKNOWNISSUER, DLGFLAGSINVALIDCA) pojawia się w przeglądarkach internetowych głównie wtedy, gdy serwer WWW nie dostarcza pełnego, prawidłowego łańcucha certyfikatów SSL/TLS podczas nawiązywania połączenia. Oznacza to, że przeglądarka nie może zweryfikować autentyczności i zaufania certyfikatu strony, co generuje ostrzeżenie bezpieczeństwa lub całkowicie blokuje dostęp do witryny z komunikatem o błędzie (np. „Połączenie nie jest prywatne”, „Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa”).

Najczęstsze przyczyny błędu

• Niekompletny łańcuch zaufania — brak lub błędna konfiguracja certyfikatów pośrednich (Intermediate CA), przez co przeglądarka nie może zbudować pełnego łańcucha zaufania do certyfikatu głównego (np. Let’s Encrypt, DigiCert, GlobalSign).
• Wygaśnięty certyfikat — zarówno główny, jak i pośredni certyfikat są ważne tylko przez określony czas.
• Nieprawidłowo podany certyfikat — na serwerze został zainstalowany nie ten certyfikat, który powinien być używany.
• Brak aktualizacji certyfikatów — przy zmianie wystawcy certyfikatu (CA) stare certyfikaty pośrednie mogą nadal być buforowane.
• Błąd konfiguracji serwera — np. w pliku konfiguracyjnym Apache lub Nginx nie ustawiono pełnej ścieżki certyfikatu.
• Problem z buforowaniem certyfikatów — niektóre przeglądarki (np. Firefox) buforują certyfikaty pośrednie, więc problem może się nie pojawiać natychmiast.

Kto jest narażony na ten błąd?

• Webmasterzy/administratorzy serwerów — podczas konfiguracji serwera, aktualizacji certyfikatów lub po zmianie dostawcy SSL.
• Deweloperzy — podczas testowania wdrożeń w środowiskach preprodukcyjnych lub dev.
• Użytkownicy końcowi — podczas próby odwiedzenia strony, której serwer ma problem z certyfikatem SSL.

Krok po kroku – lokalizacja i naprawa błędu dla webmastera/dewelopera

1. Weryfikacja certyfikatu w przeglądarce

Wejdź na swoją stronę w różnych przeglądarkach (Chrome, Firefox, Edge). Jeśli widzisz błąd, kliknij „Szczegóły” lub „Zaawansowane”, aby odnaleźć kod błędu i potwierdzić, że chodzi o niekompletny łańcuch zaufania.

2. Sprawdzenie certyfikatów na serwerze

• SSL Checker — korzystaj z narzędzi online (np. SSL Labs, SSL Shopper), które sprawdzają poprawność i kompletność łańcucha certyfikatów.
• Pobierz pełny łańcuch certyfikatów od swojego dostawcy SSL. Zazwyczaj składa się z dwóch plików: certyfikatu domeny oraz certyfikatów pośrednich (CA Bundle).
• Przełącznik na produkcji — upewnij się, że na produkcji znajduje się prawidłowy, aktualny zestaw certyfikatów.

3. Poprawne zainstalowanie certyfikatów

• Apache
  W pliku konfiguracyjnym (np. ssl.conf lub default-ssl.conf):

 SSLCertificateFile /ścieżka/do/certyfikatu.crt SSLCertificateKeyFile /ścieżka/do/klucza.key SSLCertificateChainFile /ścieżka/do/certyfikatów_pośrednich.crt 

Zamień ścieżki na prawidłowe. Plik SSLCertificateChainFile musi zawierać certyfikaty pośrednie w odpowiedniej kolejności (od końcowego do głównego, ale nie wliczając głównego).

• Nginx
  W bloku server:

 ssl_certificate /ścieżka/do/pełnego_łańcucha.pem; ssl_certificate_key /ścieżka/do/klucza.key; 

Plik ssl_certificate powinien zawierać najpierw certyfikat domeny, a potem certyfikaty pośrednie (jeden plik, w odpowiedniej kolejności).

• Windows (IIS)
  W Menedżerze IIS wybierz witrynę, przejdź do „Wiązania”, edytuj powiązanie HTTPS i wybierz plik z pełnym łańcuchem certyfikatów.

4. Restart serwera

Po wprowadzeniu zmian koniecznie zrestartuj serwer WWW (Apache, Nginx, IIS).

5. Ponowna weryfikacja

Po restarcie ponownie sprawdź stronę narzędziem SSL Checker oraz w różnych przeglądarkach. Błąd powinien zniknąć.

Krok po kroku – co może zrobić użytkownik końcowy?

• Zaktualizuj przeglądarkę — upewnij się, że korzystasz z najnowszej wersji Chrome, Firefox, Edge lub Safari.
• Wyczyść cache — w szczególności Firefox buforuje certyfikaty pośrednie, więc po naprawie problemu przez webmastera warto wyczyścić cache przeglądarki.
• Uwaga na VPN i proxy — niektóre narzędzia pośredniczące mogą zaburzać komunikację SSL.
• Zgłoś problem administratorowi — jeśli błąd się powtarza, poinformuj właściciela strony.

Dodatkowe wskazówki i wyjaśnienia

• Nie ignoruj ostrzeżenia — nawet jeśli przeglądarka pozwala ominąć błąd, nigdy nie klikaj „Zaawansowane” → „Kontynuuj mimo ryzyka”. Możesz narazić się na atak Man-in-the-Middle.
• Automatyzacja certyfikatów — rozważ użycie narzędzi takich jak Certbot (Let’s Encrypt), które automatyzują instalację i odnawianie certyfikatów.
• Monitoring SSL — skonfiguruj monitoring, który poinformuje Cię o zbliżającym się wygaśnięciu lub problemach z certyfikatami.
• Testy środowiskowe — przed wdrożeniem na produkcji przetestuj aktualizację certyfikatu w środowisku testowym.

Podsumowanie

Błąd ERRCTSTH_INCOMPLETE (lub jego odpowiedniki) w większości przypadków oznacza problem z prawidłową instalacją certyfikatów SSL/TLS na serwerze WWW. Naprawa polega na pobraniu pełnego łańcucha certyfikatów od dostawcy SSL, poprawnej instalacji na serwerze oraz restarcie usługi. Dla użytkownika końcowego problem nie jest możliwy do obejścia bez interwencji administratora, dlatego niezwykle ważna jest odpowiednia konfiguracja serwera. Regularne testowanie i monitoring certyfikatów pozwala uniknąć tego typu awarii.

Dla użytkownika – Jeśli widzisz ten błąd, poinformuj właściciela strony i zachowaj ostrożność – nie omijaj ostrzeżenia.

Dla webmastera – Zawsze sprawdzaj kompletność łańcucha certyfikatów w narzędziach online i zapewnij aktualność wszystkich plików SSL/TLS na serwerze. Automatyzacja i monitoring to Twoi sprzymierzeńcy.