Błąd HSTS. Twoje połączenie nie jest prywatne. Jak przejść do strony?

Jeśli korzystasz z internetu na co dzień, prawdopodobnie spotkałeś się z komunikatem błędu, który uniemożliwia dostęp do strony z powodu nieważnego certyfikatu SSL. Dodatkowo, strony mogą korzystać z HSTS, co jeszcze bardziej blokuje dostęp. W tym artykule wyjaśnimy, czym jest HSTS, kiedy występuje problem z nieważnym certyfikatem SSL i jak możesz go ominąć w różnych przeglądarkach.

Co to jest HSTS?

HSTS (HTTP Strict Transport Security) to mechanizm zabezpieczający, który wymusza na przeglądarce korzystanie z bezpiecznego połączenia HTTPS podczas odwiedzania danej strony. Kiedy strona włącza HSTS, przeglądarka zapamiętuje, że powinna zawsze łączyć się z nią przez HTTPS, nawet jeśli użytkownik wpisze adres URL bez „https://” na początku.

HSTS chroni użytkowników przed atakami typu „man-in-the-middle„, które mogłyby przechwycić dane przesyłane między użytkownikiem a stroną. Jednak jeśli strona ma nieprawidłowy lub wygasły certyfikat SSL, HSTS może całkowicie uniemożliwić dostęp do strony.

Kiedy występuje problem z HSTS i certyfikatem SSL?

Do problemu z HSTS dochodzi najczęściej, gdy certyfikat SSL strony jest:

• Nieważny – wygasł lub jest samopodpisany.
• Nieprawidłowy – certyfikat nie pasuje do domeny.
• Niepoprawnie zainstalowany – np. serwer nie jest prawidłowo skonfigurowany.

W normalnych okolicznościach, gdy strona ma nieprawidłowy certyfikat SSL, przeglądarka wyświetla ostrzeżenie, ale pozwala użytkownikowi zignorować ryzyko i kontynuować. Jednak strony z włączonym HSTS nie dają tej opcji – przeglądarka blokuje dostęp, ponieważ HSTS wymaga, aby połączenie było w 100% bezpieczne.

Przykład: Jako klient hostingu lub właściciel serwera VPS, możesz napotkać ten problem, gdy certyfikat SSL dla Twojej strony wygasa lub jest źle skonfigurowany. Może się to zdarzyć, jeśli korzystasz z darmowych certyfikatów (np. Let's Encrypt), które mają krótszy okres ważności (90 dni), i zapomnisz o ich odnowieniu lub automatyczne odnowienie certyfikatu się nie powiedzie. Kiedy certyfikat wygasł, a strona korzysta z HSTS, użytkownicy nie będą mogli jej odwiedzić, dopóki problem nie zostanie rozwiązany.

Jak ominąć błąd HSTS w przeglądarce Microsoft Edge?

W przypadku Edge problem z HSTS i certyfikatem SSL można rozwiązać, czyszcząc zasady HSTS dla danej domeny:

Wpisz w pasku adresu:

edge://net-internals/#hsts

W sekcji „Delete domain security policies” wpisz domenę, która sprawia problem, np. twojadomena.pl, i kliknij „Delete”.

Wyczyszczenie zasad HSTS przywróci możliwość połączenia się ze stroną.

Błąd HSTS w przeglądarce Google Chrome – jak się pozbyć?

Podobnie jak w powyższym przypadku, wpisz w pasku adresu:

chrome://net-internals/#hsts

W sekcji „Delete domain security policies” wpisz nazwę domeny i kliknij „Delete”.

Po wykonaniu tych kroków, spróbuj ponownie odwiedzić stronę.

Jak przejść błąd HSTS w Mozilla Firefox?

Niestety w Firefoxie musisz wyczyścić dane domeny w przeglądarce:

• Przejdź do ustawień: Ustawienia > Prywatność i bezpieczeństwo lub wpisz w pasku przeglądarki about:preferences#privacy
• W sekcji „Ciasteczka i dane witryn” kliknij „Wyczyść dane”.
• Alternatywnie, możesz wejść w tryb incognito, który pomija zapamiętane zasady HSTS, i spróbować połączyć się ze stroną.

Alternatywne rozwiązanie:

• Otwórz historię przeglądania (Ctrl+H)
• odnajdź domenę i kliknij „Usuń całą witrynę”

Pamiętaj że obydwa rozwiązania spowodują usunięcie wszystkich danych witryny zapisanych obecnie w przeglądarce Firefox.

Jak przejść problem HSTS w Safari?

W Safari problem HSTS można rozwiązać, czyszcząc historię przeglądania:

• Przejdź do ustawień Safari.
• Wybierz „Wyczyść historię i dane witryn” i potwierdź.
• Podobnie jak w innych przeglądarkach, możesz też spróbować w trybie prywatnym (incognito).

Niestety Mozilla Firefox i Safari nie udostępniają bezpośrednich narzędzi do zarządzania danymi HSTS. Po prostu inaczej je traktują. Dlatego aby pozbyć się problemów z HSTS, musisz wyczyścić całe danych przeglądania (cookies, pamięć podręczna, dane stron). Wynika to z uproszczonego podejścia tych przeglądarek, które traktują HSTS jako część ogólnych danych strony, a nie osobny zasób, tak jak robi to silnik Chromium.

Błąd HSTS – ja już mogę przejść do strony, a moi Klienci?

Choć problemy z HSTS i nieważnymi certyfikatami SSL można rozwiązać poprzez czyszczenie danych przeglądarek lub usuwanie zasad HSTS, to nie są to trwałe rozwiązania. Przy kolejnym problemie znowu będziesz musiał czyścić dane. Twoi Klienci również. Najlepszym sposobem na uniknięcie tych problemów w przyszłości jest zakup płatnego certyfikatu SSL w niskiej cenie. Płatny certyfikat zapewnia dłuższy okres ważności, profesjonalne wsparcie techniczne oraz wyższy poziom zabezpieczeń. Dzięki temu możesz zapomnieć o wygasających certyfikatach i zapewnić swoim użytkownikom bezpieczne połączenie z Twoją stroną bez niepotrzebnych komplikacji.