Hvad betyder net::err_cert_authority_invalid?

Hvad betyder fejlkoden NET::ERR_CERT_AUTHORITY_INVALID?

Fejlkoden NET::ERR_CERT_AUTHORITY_INVALID opstår, når en webbrowser ikke kan bekræfte gyldigheden af et websteds SSL-certifikat. Dette sker, fordi den certificate authority (CA), der har udstedt certifikatet, ikke er anerkendt som en betroet udsteder. Browseren stopper forbindelsen og viser en advarsel for at beskytte brugeren mod potentielt usikre websteder. Det er vigtigt at forstå, at denne fejl ikke nødvendigvis betyder, at webstedet er ondsindet; det indikerer snarere, at certifikatets troværdighed ikke kan verificeres gennem browserens indbyggede rodlagre.

Fejlen ses ofte i Google Chrome, men den kan også forekomme i andre browsere som Firefox, Edge og Safari. Den konkrete besked varierer, men kernen er den samme: browseren mangler en betroet forbindelse mellem certifikatet og en rod-CA. For brugeren betyder det, at adgang til webstedet blokeres, medmindre vedkommende manuelt tilsidesætter advarslen. Det frarådes dog at gøre dette, medmindre man er helt sikker på webstedets legitimitet.

Primære årsager til NET::ERR_CERT_AUTHORITY_INVALID

Der er flere grunde til, at denne fejl kan opstå. Nedenfor gennemgås de mest almindelige årsager, både set fra webstedsejerens og brugerens perspektiv.

For webstedsejeren er den hyppigste årsag, at der anvendes et selvsigneret certifikat. Et selvsigneret certifikat er genereret af webstedet selv og ikke af en anerkendt CA. Browseren har ingen mulighed for at verificere udstederen, da certifikatet ikke er signeret af en betroet tredjepart. Det samme gælder, hvis certifikatet er udstedt af en CA, der ikke er medlem af CA/Browser Forum, og derfor ikke er inkluderet i browserens liste over betroede udstedere.

En anden almindelig årsag er, at certifikatet er udløbet. SSL-certifikater har en begrænset levetid, og når de udløber, kan browseren ikke længere garantere, at forbindelsen er sikker. Webstedsejeren skal regelmæssigt forny certifikatet for at undgå denne fejl.

Manglende mellemliggende certifikater (intermediate certificates) er også en hyppig årsag. Når et websted installerer sit SSL-certifikat, skal det også inkludere de mellemliggende certifikater, der forbinder certifikatet til en betroet rod-CA. Hvis disse mangler, kan browseren ikke opbygge en fuld kæde af tillid, og fejlen opstår. Dette sker ofte ved forkert konfiguration af serveren.

Endelig kan fejlen opstå, hvis CA’en, der udstedte certifikatet, ikke er anerkendt som betroet af browseren. Nogle mindre CA’er er ikke inkluderet i de store browsers rodlagre, medmindre de opfylder strenge krav. I så fald vil certifikatet blive afvist.

Typiske årsager på brugersiden

Brugeren kan også opleve fejlen, selvom webstedets certifikat er korrekt. Her er nogle af de mest almindelige udløsende faktorer:

• Forkert systemdato eller -tid: Browseren bruger enhedens ur til at kontrollere certifikatets gyldighedsperiode. Hvis datoen eller tiden er sat forkert, kan et gyldigt certifikat opfattes som udløbet eller endnu ikke gyldigt.
• Antivirus eller firewall med SSL-scanning: Nogle sikkerhedsprogrammer opsnapper SSL-forbindelser for at scanne indholdet. Dette kan medføre, at browseren modtager et andet certifikat end det oprindelige, hvilket udløser fejlen.
• VPN- eller proxyforbindelser: Hvis VPN-klienten eller proxyserveren ændrer eller re-encrypterer trafikken, kan certifikatkæden brydes, og browseren afviser forbindelsen.
• Korrupt browser-cache: En beskadiget cache eller gemte SSL-sessionsdata kan forvirre browseren og få den til at tro, at certifikatet er ugyldigt.
• Browserudvidelser: Visse udvidelser, især dem der manipulerer sikkerhedsindstillinger, kan forstyrre SSL-valideringen.

Det er værd at bemærke, at disse brugerrelaterede årsager ofte er midlertidige og kan løses uden at ændre på webstedets certifikat.

Løsninger til brugere

Hvis du som bruger støder på NET::ERR_CERT_AUTHORITY_INVALID, kan du prøve følgende trin for at løse problemet. Start altid med de enkleste løsninger, før du foretager mere drastiske ændringer.

Først og fremmest bør du kontrollere enhedens dato og tid. Gå til systemindstillingerne og sørg for, at uret er synkroniseret korrekt. De fleste enheder har en automatisk synkroniseringsfunktion, som du kan aktivere. Dette løser problemet i mange tilfælde.

Dernæst kan du prøve at rydde browserens cache og cookies. I Chrome gøres dette via menuen "Flere værktøjer" – "Ryd browsingdata". Vælg "Hele perioden" og sørg for at inkludere cookies og cache. Genstart derefter browseren. Du kan også teste i inkognitotilstand, som ikke bruger cache eller udvidelser, for at se, om fejlen stadig opstår.

Hvis problemet fortsætter, kan du midlertidigt deaktivere antivirusprogrammets SSL-scanning eller firewall. Dette gøres ofte i programmets indstillinger under "Webbeskyttelse" eller lignende. Husk at genaktivere det efter testen. Ligeledes kan du afbryde VPN-forbindelsen og prøve at tilgå webstedet direkte.

Opdater din browser til den nyeste version. Ældre browsere har ikke altid de nyeste rodlagre og kan derfor afvise certifikater, der faktisk er gyldige. Chrome opdaterer automatisk, men du kan tjekke manuelt under "Om Chrome".

Hvis fejlen kun opstår på ét bestemt websted, og du stoler på webstedet, kan du i nogle tilfælde tilsidesætte advarslen ved at klikke på "Avanceret" og derefter "Fortsæt til webstedet". Dette anbefales dog kun, hvis du er sikker på, at webstedet er sikkert – for eksempel dit eget firma-websted eller en intern ressource.

Løsninger til webstedsejere

Hvis du driver et websted og oplever denne fejl hos dine besøgende, skal du handle hurtigt for at genoprette tilliden. Her er de vigtigste tiltag:

Først bør du kontrollere, hvilket certifikat der er installeret på din server. Brug et online SSL-tjekværktøj til at se certifikatkæden. Hvis der mangler mellemliggende certifikater, skal du downloade dem fra din CA’s hjemmeside og installere dem i serverkonfigurationen. For eksempel hos SiteGround findes der vejledninger til at rette dette.

Hvis du bruger en selvsigneret certifikat i et produktionsmiljø, bør du straks skifte til et certifikat fra en betroet CA. Mange hostingudbydere tilbyder gratis certifikater via Let’s Encrypt, som automatisk installeres og fornyes. Du kan også læse mere hos Kinsta om, hvordan du undgår certifikatfejl.

Husk at teste efter ændringerne. Brug værktøjer som SSL Labs Server Test for at sikre, at certifikatet er korrekt installeret, og at alle browsere accepterer det.

Sikkerhedsafklaring: Er fejlen farlig?

Det er vigtigt at understrege, at NET::ERR_CERT_AUTHORITY_INVALID ikke i sig selv er et tegn på et sikkerhedsbrud eller et ondsindet angreb. Fejlen er et operationelt tillidsproblem: browseren kan simpelthen ikke finde en betroet udsteder af certifikatet. Dette kan skyldes tekniske fejlkonfigurationer snarere end ondsindede handlinger. Dog kan angribere udnytte situationen ved at opsætte falske certifikater, så du bør altid være forsigtig, når du ser denne advarsel på ukendte websteder.

Hvis du stoler på webstedet (f.eks. et internt system i dit firma), kan du trygt tilsidesætte advarslen, men for alle andre websteder anbefales det at afstå og i stedet kontakte webstedsejeren for at få certifikatet rettet.

Referencer

Google Chrome Support – https://support.google.com/chrome/thread/2137896
SiteGround Knowledge Base – https://www.siteground.com/kb/fix-net-err-cert-authority-invalid
Kinsta Blog – https://kinsta.com/blog/neterr-cert-authority-invalid
PhoenixNAP KB – https://phoenixnap.com/kb/net-err-cert-authority-invalid
Hostinger Tutorial – https://www.hostinger.com/uk/tutorials/net-err_cert_common_name_invalid
CheapSSLSecurity Guide – https://cheapsslsecurity.com/p/steps-to-resolve-the-net-err_cert_authority_invalid-error-in-google-chrome
EveryCCuring Blog – https://www.qcecuring.com/blog/fix-net-err-cert-authority-invalid