خطای ERR_SSL_VERSION_OR_CIPHER_MISMATCH چیست و چطور سایت را امن برگردانیم؟

مرورگر به‌جای سایت پیام ERR_SSL_VERSION_OR_CIPHER_MISMATCH نشان می‌دهد. نام خطا ممکن است این تصور را بسازد که تنها علت، قدیمی‌بودن نسخه TLS است؛ در عمل نبود گواهی مناسب برای نام دامنه، تنظیم CDN یا تفاوت مسیر اتصال نیز می‌تواند چنین نتیجه‌ای ایجاد کند.

TLS همان سازوکاری است که ارتباط امن مرورگر و سرور را برقرار می‌کند. ابتدا مشخص می‌کنیم مشکل برای همه است یا یک دستگاه، بعد مسیر و گواهی را بررسی می‌کنیم. خاموش‌کردن امنیت مرورگر یا فعال‌کردن پروتکل‌های قدیمی اولین راه‌حل نیست.

آیا مشکل روی example.com است یا فقط روی shop.example.com؟ آیا www نتیجه دیگری دارد؟ نام‌هایی که در گواهی پوشش داده می‌شوند مهم‌اند. در چند مرورگر به‌روز و در صورت امکان یک شبکه دیگر آزمایش کنید و زمان و متن دقیق خطا را ثبت کنید.

اگر همه کاربران خطا دارند، احتمال مشکل در سمت سایت یا مسیر عمومی بیشتر می‌شود. اگر فقط یک دستگاه قدیمی مشکل دارد و دستگاه‌های به‌روز درست‌اند، نسخه مرورگر، سیستم‌عامل و نرم‌افزارهای امنیتی همان دستگاه را بررسی کنید. این‌ها نشانه‌اند، نه اثبات قطعی.

اگر سایت پشت CDN یا پراکسی است، مرورگر ابتدا با آن لایه ارتباط TLS می‌گیرد. گواهی عمومی لبه CDN و گواهی سرور اصلی دو موضوع جدا هستند. اگر همان نام در CDN گواهی فعال و مناسب ندارد، مرورگر ممکن است پیش از رسیدن درخواست به سرور اصلی خطا بدهد.

برای Cloudflare، در پنل دامنه به SSL/TLS ← Edge Certificates بروید و وضعیت گواهی و پوشش نام را ببینید. راهنمای رسمی Cloudflare برای این خطا از جمله به فعال‌نبودن گواهی و پوشش‌ندادن بعضی زیر‌دامنه‌های چندسطحی اشاره می‌کند. امکانات و پوشش هر سرویس یا گواهی را برای تنظیمات فعلی خودتان تأیید کنید.

وضعیت DNS نام موردنظر را نیز با معماری خود تطبیق دهید. تغییر ناگهانی حالت پراکسی یا متوقف‌کردن CDN می‌تواند امنیت، مسیر ترافیک یا دسترسی به سرور اصلی را تغییر دهد. قبل از چنین اقدامی مدیر باید گواهی معتبر روی سرور اصلی، محدودیت دسترسی و برنامه بازگشت را بررسی کند.

اگر اتصال با ابزار OpenSSL از یک دستگاه مجاز امکان‌پذیر است، نام نمونه را در هر سه بخش دستور با نام واقعی جایگزین کنید:

این دستور تلاش می‌کند با TLS 1.2 به پورت HTTPS همان نام وصل شود، نام را برای انتخاب گواهی ارسال و اعتبار گواهی را بررسی کند. در صورت موفقیت، جزئیاتی از نسخه اتصال و نتیجه اعتبارسنجی می‌بینید. برای خروج از اتصال باز از Ctrl+C استفاده کنید. اگر OpenSSL قدیمی باشد یا تنظیمات دستگاه CA لازم را نداشته باشد، نتیجه می‌تواند تحت تأثیر خود دستگاه قرار گیرد.

برای آزمایش TLS 1.3، در نسخه‌ای از OpenSSL که پشتیبانی می‌کند، فقط گزینه -tls1_2 را با -tls1_3 جایگزین کنید. موفقیت یک نسخه و شکست دیگری یک نشانه تشخیصی است؛ به‌تنهایی علت شکست یا وضعیت همه مرورگرها را ثابت نمی‌کند. اگر سایت پشت CDN است، این آزمون معمولاً لایه عمومی CDN را می‌سنجد، نه الزاماً سرور اصلی.

اگر پیام مربوط به نام گواهی یا زنجیره اعتماد است، همان بخش را اصلاح کنید. اگر ارتباط پیش از ارائه گواهی قطع می‌شود، مدیر باید گوش‌دادن سرویس HTTPS، تنظیم نام میزبان و پروتکل‌های پشتیبانی‌شده را بررسی کند. از اجرای آزمایش روی سامانه‌ای که اجازه ندارید خودداری کنید.

مرورگرهای جدید از پروتکل‌ها و الگوریتم‌های قدیمی و ضعیف پشتیبانی نمی‌کنند. راهنمای Chrome برای مدیران سایت استفاده از TLS جدید و در صورت نیاز TLS 1.2 را توضیح می‌دهد. مدیر باید بر اساس نسخه وب‌سرور، کتابخانه رمزنگاری، استانداردهای فعلی و نیاز کاربران، تنظیم سازگار و امن را انتخاب کند.

پیش از تغییر، پیکربندی و گواهی فعلی را ثبت و در محیط آزمایشی بررسی کنید. سپس آزمون صحت پیکربندی همان وب‌سرور و روش بارگذاری مجدد کنترل‌شده را اجرا کنید. فعال‌کردن SSL قدیمی یا خاموش‌کردن بررسی گواهی برای عبور از هشدار می‌تواند اطلاعات کاربران را در خطر قرار دهد.

نام دقیق، نتیجه روی چند دستگاه، اینکه سایت از CDN استفاده می‌کند و خروجی غیرمحرمانه آزمون را کنار هم بگذارید. اگر فقط زیر‌دامنه چندسطحی خطا دارد، پوشش گواهی همان نام را بررسی کنید. اگر فقط یک مرورگر قدیمی مشکل دارد، به‌روزرسانی آن را امتحان کنید. اگر بعد از تغییر سمت سرور خطا شروع شده، به نسخه تنظیم ثبت‌شده برگردید و دوباره بسنجید.

نتیجه زمانی قابل اعتماد است که نام‌های موردنیاز از چند شبکه با گواهی معتبر باز شوند و خود سایت نیز درست پاسخ دهد. برای سایت روی هاست وردپرس نت‌آرام، دامنه، زمان و متن خطا را بدون کلید خصوصی و رمز به پشتیبانی بدهید.