Chrome meldt ERR_SSL_PROTOCOL_ERROR of ‘Deze site kan geen beveiligde verbinding leveren’? Zo zie je of het aan je browser, antivirus of de server ligt, met stappen.
Voordat een https-pagina laadt, maken browser en server via TLS (de opvolger van SSL) afspraken over versleuteling: de ‘handshake’. Bij ERR_SSL_PROTOCOL_ERROR loopt die handshake vast omdat de server iets terugstuurt dat geen geldige TLS is, of de verbinding halverwege verbreekt. Anders dan bij een certificaatfout krijg je geen waarschuwingspagina met een knop om door te gaan: de verbinding komt gewoon niet tot stand.
Aan de serverkant is de klassieke oorzaak dat er op poort 443 geen TLS wordt gesproken, maar gewone http. In nginx gebeurt dat bij listen 443; zonder ssl. Firefox meldt dat als SSL_ERROR_RX_RECORD_TOO_LONG. Andere oorzaken: een kapot of ontbrekend certificaatbestand in de configuratie, een server die alleen verouderde TLS-versies aanbiedt, of een firewall of loadbalancer die het verkeer verkeerd doorgeeft.
Aan jouw kant kan antivirussoftware met HTTPS-scan, een bedrijfsproxy of een VPN de handshake verstoren. Soms speelt QUIC (HTTP/3 over UDP) een rol, als een netwerk dat half doorlaat.
ERR_SSL_VERSION_OR_CIPHER_MISMATCH, dan konden browser en server het niet eens worden over TLS-versie of versleuteling: zie die pagina.Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
Herlaad de pagina en open hem in een incognito- of privévenster, zonder extensies. Werkt het daar, dan zit de oorzaak in een extensie of in opgeslagen sitegegevens. Zet extensies één voor één uit.
Een verkeerde klok geeft meestal een certificaatfout, maar kan de handshake ook laten mislukken. Zet de tijd op automatisch en synchroniseer; zie ERR_CERT_DATE_INVALID.
Schakel de HTTPS-scan of het webschild van je antivirus kort uit, net als een VPN of handmatig ingestelde proxy. Verdwijnt de fout, dan werk je dat programma bij of pas je de instelling aan. Op een werklaptop beslist je IT-beheer over de proxy.
In Windows kun je opgeslagen SSL-gegevens wissen via Internetopties › Inhoud › SSL-status wissen (open Internetopties via het startmenu). In Chrome kun je ter test op chrome://flags de optie Experimental QUIC protocol uitzetten. Zet hem terug als dat niets oplost.
Met openssl zie je of de server TLS spreekt. Krijg je direct een fout als wrong version number of packet length too long, dan praat de server op 443 gewoon http. Met curl zie je waar de handshake stopt.
openssl s_client -connect domein.nl:443 -servername domein.nl </dev/null
curl -vI https://domein.nl/Op poort 443 hoort in nginx listen 443 ssl; te staan, met een geldig certificaat en sleutel. Controleer de configuratie vóór het herladen en kijk in het foutlog naar meldingen over certificaat of sleutel.
# nginx
server {
listen 443 ssl;
listen [::]:443 ssl;
server_name domein.nl www.domein.nl;
ssl_certificate /etc/letsencrypt/live/domein.nl/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/domein.nl/privkey.pem;
}
sudo nginx -t && sudo systemctl reload nginx
sudo tail -n 30 /var/log/nginx/error.logModerne browsers accepteren alleen TLS 1.2 en 1.3. Zet die expliciet aan. Test daarna per versie of de server antwoordt.
# nginx
ssl_protocols TLSv1.2 TLSv1.3;
# Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3
# test
openssl s_client -connect domein.nl:443 -servername domein.nl -tls1_2 </dev/null
openssl s_client -connect domein.nl:443 -servername domein.nl -tls1_3 </dev/nullLet op: Werkt de site in één browser wel en in een andere niet, vergelijk dan eerst extensies, antivirus en proxy-instellingen voordat je de server aanpast.
sudo ss -tlnp | grep ':443'.nginx -t of de Apache-configtest geeft fouten die je niet kunt plaatsen.Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Test de site op een ander apparaat via een ander netwerk. Werkt hij daar wel, dan ligt het aan je browser, antivirus of netwerk; zo niet, dan aan de server.
Het kan geen kwaad, maar helpt zelden. Extensies, antivirus met HTTPS-scan en proxy-instellingen zijn waarschijnlijker oorzaken.
Dat de server op poort 443 geen TLS antwoordt, meestal gewone http. In nginx ontbreekt dan vaak ssl achter listen 443.
Hulp nodig van een mens? Website-onderhoud · Hosting en onderhoud · Gratis website-scan · Alle oplossingen