Komunikat „Twoje połączenie nie jest prywatne” oznacza, że przeglądarka nawiązała połączenie ze stroną, ale nie potrafiła potwierdzić jej certyfikatu SSL, więc przerwała wczytywanie, zanim cokolwiek się wyświetliło. W ośmiu na dziesięć przypadków winny jest wygasły certyfikat po stronie serwera. Rzadziej chodzi o źle ustawiony zegar w komputerze odwiedzającego, sieć publiczną podstawiającą własny certyfikat albo certyfikat wystawiony na inną nazwę domeny. Jeżeli komunikat widzą odwiedzający Twoją stronę, to problem jest po Twojej stronie i naprawia się go na hostingu, a nie w przeglądarce.
Ten tekst pisaliśmy z myślą o osobie, która odpowiada za firmową stronę i właśnie dostała wiadomość od klienta: „u mnie coś się nie otwiera”. Najpierw wyjaśniamy, co przeglądarka faktycznie próbuje powiedzieć, potem jak odczytać kod błędu, a na końcu jak to naprawić trwale, żeby nie wracało co dziewięćdziesiąt dni.
Twoje połączenie nie jest prywatne: co to znaczy
Przeglądarka nie mówi, że strona jest zainfekowana ani że ktoś Cię właśnie atakuje. Mówi coś węższego: nie umiem udowodnić, że rozmawiam z serwerem, za który ten serwer się podaje. Certyfikat SSL pełni rolę dowodu tożsamości domeny, wystawianego przez zaufany urząd certyfikacji. Gdy tego dowodu brakuje, jest przeterminowany albo wystawiono go na inną nazwę, przeglądarka zatrzymuje się przed wczytaniem treści.
Blokada jest celowo agresywna, bo szyfrowanie ma sens tylko wtedy, gdy jest sprawdzalne. Połączenie zaszyfrowane kluczem nieznanego pochodzenia daje złudzenie bezpieczeństwa, a nie bezpieczeństwo. Dlatego Chrome, Edge, Firefox i Safari pokazują pełnoekranowe ostrzeżenie zamiast dyskretnej ikonki, a przejście dalej wymaga świadomego kliknięcia w rozwijane szczegóły.
Dla firmy najważniejsza jest jedna konsekwencja: odwiedzający nie widzi Twojej oferty. Widzi ekran, który wygląda jak ostrzeżenie o oszustwie, i w większości przypadków po prostu się wycofuje.
Co oznaczają kody błędów pod komunikatem
Pod przyciskiem „Zaawansowane” albo w samej treści komunikatu Chrome pokazuje kod. To najszybsza droga do przyczyny, bo każdy kod wskazuje inną rzecz i inną naprawę.
| Kod błędu | Co się stało | Gdzie naprawiasz |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | Certyfikat wygasł albo zegar urządzenia pokazuje złą datę | Na serwerze, ewentualnie w ustawieniach czasu |
| NET::ERR_CERT_AUTHORITY_INVALID | Certyfikat wystawił urząd, którego przeglądarka nie zna, albo jest samopodpisany | Na serwerze |
| NET::ERR_CERT_COMMON_NAME_INVALID | Certyfikat wystawiono na inną nazwę, na przykład bez wersji z www | Na serwerze |
| NET::ERR_CERT_REVOKED | Certyfikat został unieważniony przez wystawcę | Na serwerze, trzeba wystawić nowy |
| ERR_SSL_VERSION_OR_CIPHER_MISMATCH | Serwer używa przestarzałej wersji protokołu lub szyfrów | W konfiguracji serwera |
| NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM | Certyfikat podpisano algorytmem uznanym już za zbyt słaby | Na serwerze, wymiana certyfikatu |
Praktyczna zasada: jeśli kod zawiera człon CERT, problem dotyczy certyfikatu konkretnej domeny. Jeśli zawiera człon SSL_VERSION lub CIPHER, chodzi o ustawienia samego serwera i zwykle o oprogramowanie, którego nikt nie aktualizował od lat.
Twoje połączenie nie jest prywatne: co zrobić, gdy widzisz błąd na cudzej stronie
Zanim uznasz, że problem leży po stronie serwisu, sprawdź trzy rzeczy po swojej. Zajmuje to minutę i w zaskakująco wielu przypadkach kończy sprawę.
- Data i godzina w urządzeniu. To najczęstsza przyczyna po stronie użytkownika. Certyfikat ma datę ważności, a przeglądarka porównuje ją z zegarem systemowym. Zegar cofnięty o kilka miesięcy sprawia, że każdy poprawny certyfikat wygląda na nieważny. Włącz automatyczne ustawianie czasu i odśwież stronę.
- Sieć, w której jesteś. Publiczne Wi-Fi w hotelu, na lotnisku czy w kawiarni często przechwytuje ruch, żeby pokazać stronę logowania. Wtedy komunikat pojawia się na każdej odwiedzanej stronie, a nie na jednej. Zaloguj się do sieci albo przełącz na dane komórkowe.
- Tryb prywatny i rozszerzenia. Otwórz stronę w oknie incognito. Jeśli tam działa, przyczyną jest rozszerzenie przeglądarki, najczęściej antywirus albo VPN podstawiający własny certyfikat. Wyłącz je pojedynczo.
Jeśli po tych trzech krokach komunikat nadal się pojawia i dotyczy wyłącznie jednej strony, to problem leży po stronie tej strony i tylko jej właściciel może go naprawić.
Jak naprawić „Twoje połączenie nie jest prywatne” na własnej stronie
Tu zaczyna się część, która realnie kosztuje firmę pieniądze, więc warto ją zrobić dokładnie. Kolejność poniżej prowadzi od najczęstszej przyczyny do najrzadszej.
- Sprawdź datę ważności certyfikatu. Kliknij kłódkę obok adresu, wejdź w szczegóły certyfikatu i zobacz pole ważności. Data wsteczna oznacza, że certyfikat po prostu wygasł i nie odnowił się automatycznie.
- Zaloguj się do panelu hostingu i wystaw certyfikat ponownie. W panelach obsługujących Let's Encrypt to jeden przełącznik w sekcji SSL. Wystawienie trwa od kilkudziesięciu sekund do kilku minut. Szczegółową procedurę obu wariantów, automatycznego i ręcznego, opisaliśmy w poradniku o tym, jak zainstalować certyfikat SSL.
- Sprawdź, czy certyfikat obejmuje obie wersje adresu. Przy błędzie z członem COMMON_NAME certyfikat zwykle wystawiono na wersję bez www, a odwiedzający wchodzą na wersję z www albo odwrotnie. Certyfikat musi obejmować obie nazwy.
- Zweryfikuj, czy domena wskazuje na właściwy serwer. Jeżeli rekordy DNS prowadzą jeszcze do starego hostingu, certyfikat wystawiony na nowym nie ma jak zadziałać. To typowa sytuacja w trakcie zmiany dostawcy.
- Wymuś przekierowanie z HTTP na HTTPS i sprawdź, czy strona nie wczytuje zdjęć ani skryptów po nieszyfrowanym adresie. Mieszana zawartość nie daje pełnoekranowego ostrzeżenia, ale usuwa kłódkę i psuje wrażenie bezpieczeństwa.
- Po naprawie wyczyść pamięć podręczną i sprawdź stronę na innym urządzeniu oraz w sieci komórkowej. Twoja przeglądarka mogła zapamiętać poprzedni stan.
Dlaczego certyfikat wygasa, skoro miał się odnawiać sam
Certyfikaty Let's Encrypt są ważne dziewięćdziesiąt dni i odnawiają się automatycznie, o ile odnowieniem ma się co zająć. W praktyce automat przestaje działać zwykle z jednego z czterech powodów, a każdy z nich objawia się dokładnie tak samo: czerwonym ekranem po dziewięćdziesięciu dniach ciszy.
- Domena przestała wskazywać na serwer, który odnawia certyfikat. Odnowienie wymaga potwierdzenia, że kontrolujesz domenę, a to potwierdzenie odbywa się przez odpytanie tej domeny.
- Reguła w pliku .htaccess blokuje ścieżkę weryfikacyjną albo przekierowuje ją razem z całym ruchem.
- Certyfikat kupiony osobno, komercyjny, nie odnawia się sam i wymaga opłacenia oraz ponownego wgrania każdego roku.
- Konto hostingowe zostało zawieszone za nieopłaconą fakturę, a razem z nim zatrzymały się zadania cykliczne.
Dlatego pytanie „czy hosting odnawia certyfikat automatycznie i czy jest on wliczony w cenę” warto zadać, zanim podpiszesz umowę, a nie po pierwszym incydencie. Rozpiętość rynkowa jest spora: zebraliśmy realne kwoty u polskich dostawców na stronie o tym, ile kosztuje certyfikat SSL. Ten sam efekt w pasku adresu kosztuje od zera do prawie 490 zł netto rocznie.
Połączenie nie jest prywatne w Chrome, Edge i na telefonie
Mechanizm jest identyczny we wszystkich przeglądarkach, różni się tylko treść komunikatu, co bywa mylące przy szukaniu przyczyny.
| Przeglądarka | Treść komunikatu | Gdzie znajdziesz kod błędu |
|---|---|---|
| Chrome | Twoje połączenie nie jest prywatne | Przycisk Zaawansowane, kod z członem NET::ERR_CERT |
| Microsoft Edge | Połączenie nie jest prywatne | Przycisk Zaawansowane, ten sam zestaw kodów |
| Firefox | Ostrzeżenie: potencjalne zagrożenie bezpieczeństwa | Przycisk Zaawansowane, kody z członem SEC_ERROR |
| Safari | To połączenie nie jest prywatne | Szczegóły certyfikatu po kliknięciu Pokaż szczegóły |
| Chrome na Androidzie | Twoje połączenie nie jest prywatne | Zaawansowane, kod na dole ekranu |
Jedna sytuacja jest charakterystyczna dla telefonu: komunikat pojawia się na wszystkich stronach po połączeniu z siecią publiczną, bo urządzenie nie przeszło jeszcze przez ekran logowania. Otwarcie dowolnej strony po nieszyfrowanym adresie zwykle wywołuje ten ekran i problem znika.
Czy „hakerzy mogą próbować wykraść Twoje dane” to prawda
To zdanie w komunikacie Chrome opisuje ryzyko, a nie zdarzenie. Przeglądarka nie wykryła ataku. Stwierdziła, że nie może wykluczyć, iż rozmawia z kimś innym niż właściciel domeny, więc opisuje najgorszy możliwy scenariusz. W praktyce najczęstszą przyczyną jest zwykłe zaniedbanie odnowienia certyfikatu.
Ryzyko robi się realne w jednej sytuacji: gdy jesteś w cudzej sieci i mimo ostrzeżenia wpisujesz na stronie hasło, dane karty albo dane osobowe. Wtedy szyfrowanie, na którym polegasz, może prowadzić do kogoś, kto siedzi po drodze. Dlatego kliknięcie „przejdź dalej” na stronie z formularzem jest złym pomysłem, nawet jeśli w dziewięciu przypadkach na dziesięć chodzi tylko o przeterminowany certyfikat.
Czy da się wyłączyć albo obejść ten komunikat
Da się kliknąć „Zaawansowane”, a potem „Przejdź do witryny (niebezpieczne)”, i przeglądarka zapamięta ten wyjątek. Rozwiązuje to problem wyłącznie na Twoim urządzeniu. Każdy inny odwiedzający, każdy klient i każdy robot wyszukiwarki nadal widzi ten sam ekran.
Dla właściciela strony obejście jest więc bezużyteczne, a nawet szkodliwe, bo usypia czujność: po dodaniu wyjątku strona wygląda u Ciebie normalnie i łatwo zapomnieć, że dla reszty świata jest zablokowana. Jedynym prawdziwym rozwiązaniem jest ważny certyfikat na serwerze. To samo dotyczy porad w rodzaju wyłączania sprawdzania certyfikatów flagą uruchomieniową przeglądarki: to procedura testowa dla programistów, nie sposób na prowadzenie firmowej strony.
Ile kosztuje firmę ostrzeżenie w przeglądarce
Trudno o dokładną liczbę, ale mechanizm jest oczywisty. Odwiedzający nie widzi Twojej oferty, tylko czerwony ekran mówiący o próbie wykradzenia danych. Nie ma powodu, żeby zaufał firmie, której strona sama się do tego przyznaje, i wraca do wyników wyszukiwania, czyli do konkurencji.
Do tego dochodzi warstwa niewidoczna od razu. Roboty wyszukiwarek traktują stronę z nieważnym certyfikatem jak niedostępną, a kilka dni takiego stanu potrafi wypchnąć podstrony z wyników. Kampanie reklamowe kierujące na taki adres palą budżet, bo kliknięcie jest opłacone, a odwiedzający nigdy nie dociera do strony. Jeżeli strona firmowa jest głównym źródłem zapytań, to najdroższa awaria, jaką można mieć, i zarazem najprostsza do uniknięcia. Warto o tym pomyśleć już na etapie budowy serwisu: firmy, które zlecają zbudowanie strony internetowej w stałej cenie, dostają zwykle skonfigurowane HTTPS od pierwszego dnia i nie odkrywają tematu przy pierwszej awarii.
Jak nie wracać do tego problemu
Certyfikat to nie jednorazowy zakup, tylko element, który musi się odnawiać sam i być monitorowany. Trzy rzeczy wystarczą, żeby zamknąć temat na dobre.
- Certyfikat wliczony w plan i odnawiany automatycznie, bez osobnej faktury i bez terminu do pilnowania. U nas jest tak w każdym planie, od 29 zł netto miesięcznie, co opisujemy przy hostingu z certyfikatem SSL.
- Monitoring daty ważności, który wysyła powiadomienie zawczasu, a nie wtedy, gdy strona już nie działa.
- Sprawdzenie certyfikatu po każdej zmianie infrastruktury. Certyfikat jest powiązany z serwerem, więc przy zmianie dostawcy wystawia się go na nowym od zera. To jeden z punktów kontrolnych przy przeniesieniu WordPressa na inny serwer i przy każdej innej migracji.
Warto też wiedzieć, kiedy HTTPS jest po prostu wymagane, a kiedy to kwestia wygody. Przepisy nie mówią o certyfikacie wprost, ale RODO, przeglądarki i wyszukiwarki układają się w praktyczny obowiązek. Rozbieramy to na czynniki pierwsze w tekście o tym, czy certyfikat SSL jest obowiązkowy dla firmy.
Najczęstsze pytania
Twoje połączenie nie jest prywatne: co to znaczy?
Że przeglądarka połączyła się ze stroną, ale nie potwierdziła jej certyfikatu SSL, więc zatrzymała wczytywanie. Najczęściej certyfikat wygasł, został wystawiony na inną nazwę domeny albo pochodzi od wystawcy, którego przeglądarka nie zna. Komunikat nie oznacza, że strona jest zainfekowana, tylko że jej tożsamości nie da się zweryfikować.
Twoje połączenie nie jest prywatne: co zrobić?
Jeśli widzisz komunikat na cudzej stronie, sprawdź datę i godzinę w urządzeniu, upewnij się, że nie jesteś w publicznej sieci wymagającej logowania, i otwórz stronę w oknie incognito. Jeśli komunikat dotyczy Twojej własnej strony, zaloguj się do panelu hostingu i wystaw certyfikat ponownie, a potem sprawdź stronę na innym urządzeniu.
Jak naprawić błąd „Twoje połączenie nie jest prywatne”?
Po stronie użytkownika: ustaw automatyczną datę i godzinę, przełącz sieć i wyłącz rozszerzenia typu VPN lub antywirus. Po stronie właściciela strony: sprawdź datę ważności certyfikatu w szczegółach kłódki, wystaw go ponownie w panelu hostingu, upewnij się, że obejmuje wersję z www i bez www, oraz że domena wskazuje na właściwy serwer.
Połączenie nie jest prywatne: jak wyłączyć ostrzeżenie?
Można kliknąć „Zaawansowane”, a potem „Przejdź do witryny”, ale wyjątek zapamiętuje wyłącznie Twoja przeglądarka. Dla wszystkich pozostałych odwiedzających i dla robotów wyszukiwarek strona nadal jest zablokowana. Jeżeli to Twoja strona, jedynym realnym rozwiązaniem jest wystawienie ważnego certyfikatu na serwerze.
Dlaczego komunikat pojawia się na wszystkich stronach naraz?
To wskazuje na przyczynę po stronie urządzenia lub sieci, a nie serwisu. Najczęściej chodzi o źle ustawiony zegar systemowy, publiczną sieć Wi-Fi wymagającą zalogowania przez ekran powitalny albo oprogramowanie antywirusowe czy VPN, które podstawia własny certyfikat do sprawdzania ruchu szyfrowanego.
Czy komunikat szkodzi pozycjom strony w Google?
Tak, jeśli utrzymuje się dłużej niż chwilę. Robot wyszukiwarki traktuje stronę z nieważnym certyfikatem podobnie jak niedostępną, więc ogranicza odwiedziny, a przy kilkudniowej awarii podstrony zaczynają wypadać z wyników. Po naprawie widoczność zwykle wraca, ale odbudowa trwa dłużej niż sama awaria.
Ile kosztuje usunięcie tego błędu?
Na hostingu z certyfikatem wliczonym w plan nic, bo sprowadza się do ponownego wystawienia certyfikatu w panelu. Jeżeli dostawca każe dopłacać, ceny podstawowych certyfikatów u polskich dostawców rozciągają się od 0 zł do prawie 490 zł netto rocznie, mimo że efekt w przeglądarce jest identyczny.
Czy certyfikat trzeba wystawiać od nowa po zmianie hostingu?
Tak. Certyfikat jest powiązany z konkretnym serwerem, więc po przeniesieniu strony wystawia się go na nowym od zera. To jeden z najczęściej pomijanych kroków migracji i typowa przyczyna czerwonego ekranu tuż po przełączeniu domeny na nowego dostawcę.