SSL/TLS Certificates Explained: Trust Chains and the Most Common Errors
2026-09-05 · undefined min
When you connect to a website over HTTPS, a small cryptographic file called an SSL/TLS certificate is what turns the padlock icon from a warning into a reassurance. It proves two things: that the site you are talking to really is the site you intended to visit, and that the data exchanged between your browser and the server is encrypted so that eavesdroppers cannot read it.
But a certificate is not a single object. Each one is part of a chain of trust that starts with a root Certificate Authority, passes through one or more intermediate authorities, and ends at the leaf certificate installed on the server. Understanding this chain, and how to verify it, is the key to diagnosing the most common HTTPS errors.
1994
Netscape launches SSL
The first Secure Sockets Layer protocol is introduced with early browsers, making encrypted web connections possible for the first time.
1999
TLS replaces SSL
The Transport Layer Security protocol, the modern successor to SSL, is standardized and gradually becomes the default for secure browsing.
2008
TLS 1.2 arrives
A major revision strengthens the cryptographic algorithms and becomes the backbone of secure internet traffic for over a decade.
2018
TLS 1.3 modernizes encryption
The latest version removes obsolete algorithms, reduces handshake latency, and keeps connections fast and private.
What a certificate actually does
An SSL/TLS certificate is a digital document issued by a trusted third party, the Certificate Authority (CA). It binds a public key to an identity, usually a domain name, and is signed by the CA so that anyone can check it was not tampered with. When your browser connects over HTTPS, the server presents its certificate during the TLS handshake.
That certificate does two jobs. First, it proves the identity of the server: the public key inside it lets the browser verify that the hostname it requested really belongs to the server it reached. Second, it enables encryption: the browser and server use that public key to negotiate a shared secret, then encrypt all traffic with it. Without a valid certificate, the browser flags the site as insecure or blocks the connection.
The chain of trust: root, intermediate and leaf
Certificates rarely stand alone. A leaf certificate is the one installed on your web server and presented to visitors. It is signed by an intermediate certificate, which in turn is signed by a root certificate belonging to the CA. This hierarchy is called the chain of trust, and it exists so that the root key - the most sensitive one - is used as rarely as possible.
When a browser validates a site, it walks up the chain from the leaf certificate to the intermediate and finally to a root certificate that is pre-installed in its trust store. If any link in the chain is missing, expired or invalid, the whole verification fails, even if the leaf certificate itself is perfectly formatted.
How a leaf certificate is linked to a root through an intermediate authority, forming the chain of trust.
How to verify a certificate
The browser checks three things. First, the validity period: a certificate is only trustworthy between its not-before and not-after dates. Second, the hostname: the certificate must cover the exact domain requested, either in a Common Name or in the Subject Alternative Name (SAN) field, which is why a certificate for example.com fails on www.example.com unless both are listed.
Third, the chain must be complete and the signatures valid. When a server hosts multiple sites, the correct certificate is selected using SNI (Server Name Indication), which tells the server which hostname the client wants. Tools like openssl s_client can dump the full chain, expiry and SAN list in one command, making manual verification straightforward.
Common errors and what they mean
The most frequent certificate errors are easy to interpret once you know the chain. Unknown host or name mismatch means the certificate covers a different domain than the one requested - a common misconfiguration when a certificate is reused across sites. Self-signed means the certificate was signed by itself rather than a trusted CA, which is fine in a lab but a red flag on a public site.
Expired or not yet valid means the certificate is outside its validity window, usually because a renewal was missed. For a website, any of these errors can scare visitors away or cause clients to refuse to connect. Monitoring the expiry date, keeping the chain complete, and renewing before the deadline are the essential habits that keep HTTPS working.
Итог
A certificate is only as trustworthy as the chain behind it. Understanding how roots, intermediates and leaves fit together turns cryptic browser warnings into actionable fixes, and helps you keep every connection encrypted and verifiable.
Ваш публичный IP-адрес и сетевое местоположение определяются автоматически.
Загружается автоматически при открытии NetChecks — ввод не требуется. Используйте кнопку «Обновить» после смены сети или переподключения VPN.
Ваш браузер
Комплексное сканирование
Запускает все соответствующие проверки для одного IP или имени хоста за один проход: DNS, whois, ping, traceroute, сканирование известных портов (1-1024), заголовки HTTP и сертификат SSL.
Введите домен или IP-адрес и запустите проверку, чтобы разом проверить DNS, whois, ping, traceroute, распространённые порты, HTTP-заголовки и SSL-сертификат.
Большинство проверок выполняются параллельно - обычно завершается примерно за 30 секунд, дольше, если цель медленная или недоступна.
Этап сканирования портов выполняется только при установленном флажке согласия выше - все остальные проверки выполняются в любом случае.
Ping
Отправляет ICMP echo-запросы на хост для проверки его доступности и задержки.
Введите имя хоста или IP-адрес и нажмите Ping, чтобы отправить ICMP echo-запросы и измерить задержку туда-обратно.
Подробнее о Ping
Что это
Ping отправляет пакеты ICMP Echo Request на узел и измеряет время, за которое возвращаются пакеты ICMP Echo Reply. Это самый базовый тест сетевого подключения из существующих: он отвечает ровно на один вопрос - "доступна ли эта машина и насколько быстро?". Протокол ICMP (RFC 792) был разработан ещё в 1981 году специально для передачи управляющих и диагностических сообщений по IP-сетям, вне какого-либо прикладного трафика - Ping является его самой известной и повсеместно доступной реализацией, присутствующей практически на каждой операционной системе и сетевом устройстве с самых первых версий.
Как это работает
Каждый пакет ICMP несёт поле TTL (Time To Live), уменьшаемое на единицу при прохождении каждого маршрутизатора; если оно достигает нуля до того, как пакет достигнет цели, пакет отбрасывается, и отправителю возвращается сообщение об ошибке. Время кругового обхода (RTT), измеряемое в миллисекундах, отражает суммарную сетевую задержку на всём пути туда и обратно, а не только последний участок вблизи цели - момент, который часто понимают неверно, поскольку медленный результат ping может иметь причину в любой точке пути, не обязательно рядом с тестируемым сервером. Ping обычно отправляет несколько пакетов подряд, а не один, что позволяет отличить разовый всплеск задержки от повторяющейся проблемы и рассчитать долю потерь пакетов по выборке.
Интерпретация результатов
Стабильное, низкое значение RTT - несколько миллисекунд в локальной сети, от 10 до 50 мс для назначения внутри той же страны и заметно больше для межконтинентального соединения - свидетельствует о здоровом соединении. Даже небольшая потеря пакетов (свыше 1-2%) особенно пагубна для чувствительных к задержке приложений, таких как VoIP или интерактивные удалённые сеансы, где каждый потерянный пакет проявляется как сбой или слышимый разрыв. Сильно варьирующаяся задержка от пакета к пакету (джиттер) для тех же случаев зачастую является более серьёзной проблемой, чем высокая, но абсолютно стабильная задержка. "Превышено время ожидания запроса" означает, что в отведённое время не пришло ни одного ответа - узел действительно может быть недоступен, файрвол может незаметно блокировать ICMP, либо где-то на пути повреждён маршрут; "Узел назначения недостижим" - это другое и более информативное сообщение: промежуточный маршрутизатор явно отправил обратно сообщение о том, что не смог переслать пакет, что помогает сузить круг поиска реальной проблемы.
Частые ошибки
Наиболее распространённая ошибка интерпретации - делать вывод, что узел "недоступен", как только ping не проходит, тогда как очень многие серверы и устройства - особенно за грамотно настроенным файрволом или размещённые у крупных облачных провайдеров - намеренно блокируют входящий ICMP в качестве политики, оставаясь при этом полностью работоспособными и доступными по своим реальным сервисам (HTTP, база данных и так далее). Поэтому отсутствие ответа на ping является значимым доказательством недоступности только в сочетании с другими признаками, например, если само приложение тоже не отвечает. И наоборот, успешный ping вовсе не гарантирует, что прикладной сервис, размещённый на этой машине, работает корректно - это два совершенно независимых уровня сетевого стека.
Когда использовать
Первое, что нужно проверить перед эскалацией тикета: отвечает ли машина вообще, прежде чем копать дальше? Подтверждение подключения после изменения правила файрвола или таблицы маршрутизации, чтобы убедиться, что изменение не нарушило доступ. Установление базового измерения задержки перед внедрением VoIP или переключением на резервный канал оператора, чтобы иметь объективную точку сравнения, если позже поступят жалобы на качество связи. Лёгкая, периодическая проверка работоспособности для MSP, параллельно контролирующего несколько клиентских площадок, всегда как дополнение к более глубокому мониторингу на уровне приложений, а не как замена ему.
Traceroute
Отслеживает сетевой маршрут (переход за переходом) до хоста назначения.
Введите имя хоста или IP-адрес и запустите проверку, чтобы увидеть каждый сетевой узел между этим сервером и целью с задержкой на каждом узле.
Введите домен, выберите тип записи (A, AAAA, MX, TXT, NS, CNAME, SOA, PTR, SRV или CAA) и выполните запрос.
Whois
Просмотр регистрационной информации домена или IP-адреса.
Введите домен или IP-адрес, чтобы узнать данные регистрации: регистратора, организацию-владельца и важные даты.
Проверка чёрных списков
Проверяет, находится ли IP-адрес или домен в публичных чёрных списках спама/злоупотреблений (DNSBL).
Введите IPv4-адрес или домен и запустите проверку сразу по 7 публичным чёрным спискам (DNSBL/RBL) - для каждого показывается статус: в списке, не в списке или ошибка проверки.
Сканирование TCP-портов
Проверка, открыты ли TCP-порты на хосте или IP: распространённые порты, свой список, или весь диапазон 1-65535.
Введите хост или IP, выберите распространённые порты, свой список или весь диапазон, затем просканируйте, какие TCP-порты отвечают.
Полное сканирование диапазона может занять до ~100 секунд. Крупные сканирования (более 100 портов, включая настраиваемые диапазоны/списки) ограничены 1 разом в минуту на посетителя.
Открытые порты (0)
Просмотр заголовков HTTP
Получает статус ответа HTTP и заголовки для URL.
Введите URL, чтобы получить код состояния HTTP-ответа и все заголовки ответа, отправленные сервером.
Проверка сертификата SSL / TLS
Проверяет TLS-сертификат хоста: издатель, сроки действия и оставшиеся дни.
Введите имя хоста, чтобы проверить его TLS-сертификат: издателя, сроки действия и количество дней до истечения.
Geo-IP запрос
Определяет географическое местоположение и сетевую информацию для IP-адреса. Оставьте пустым, чтобы узнать свой публичный IP.
Введите любой IP-адрес или оставьте поле пустым, чтобы узнать свой, — вы увидите примерное местоположение и данные о сети/провайдере.
Вычисляется полностью в вашем браузере — данные на сервер не отправляются.
Введите IP-адрес и префикс CIDR (например, 192.168.1.0/24), чтобы мгновенно вычислить диапазон сети, широковещательный адрес и количество доступных хостов.
Тест скорости
Базовый тест скорости загрузки/выгрузки относительно этого сервера (точность зависит от собственного канала сервера).
Нажмите «Старт», чтобы измерить скорость скачивания и загрузки относительно этого сервера. Точность зависит от собственного соединения этого сервера.
Словарь кодов стран
Коды стран ISO 3166-1 alpha-2 — поиск выполняется полностью в вашем браузере.
Ищите или просматривайте список кодов стран ISO 3166-1 alpha-2 — поиск выполняется полностью в вашем браузере.
Страна
Код ISO
Словарь телефонных кодов
Международные телефонные коды по странам — поиск выполняется полностью в вашем браузере.
Ищите или просматривайте международные телефонные коды по странам — поиск выполняется полностью в вашем браузере.
Страна
Код
Мировые часы
Выберите часовой пояс, чтобы увидеть текущее время — перетащите глобус, чтобы вращать его.
Выберите часовой пояс из списка или покрутите глобус, чтобы увидеть текущее время там.
Ваше время
--:--:--
—
—
Выбранное время
--:--:--
—
—UTC±00:00
Разница с вами—
—
Перетащите, чтобы вращать глобус.
Статус мобильной сети Франции
Мобильные вышки, не работающие или на обслуживании во Франции, по операторам (Orange, Free, SFR, Bouygues Telecom), по открытым данным Arcep. Снимок обновляется раз в день - не поминутный поток.
Просматривайте данные об авариях мобильных вышек и оптоволокна по французским операторам — ввод не требуется, данные обновляются автоматически из открытых данных Arcep.
Источник: Arcep, набор данных «Sites indisponibles», опубликован по Открытой лицензии / Etalab 2.0 - коммерческое использование явно разрешено, в отличие от ранее использовавшихся данных IODA/CAIDA. Значок «Норма/Наблюдение/Тревога» - собственная оценка (число сбоев сегодня относительно медианы за предыдущие дни), не официальная классификация Arcep. Ссылки на источники ниже.
Наиболее затронутые департаменты
Число объектов, сейчас не работающих или на обслуживании, по департаментам. Нажмите на оператора выше для фильтрации.
Качество оптоволоконной сети (FTTH) по операторам: доля зарегистрированных сбоев и доля неудачных подключений, по открытым данным Arcep. Ежемесячные показатели, скользящее среднее за 6 месяцев - не прямой поток, как в разделе мобильной связи.
Источник: Arcep, набор данных «Qualité des réseaux en fibre optique», опубликован по Открытой лицензии / Etalab 2.0 - коммерческое использование явно разрешено. Ссылки на источники ниже.
По операторам (материнская компания)
Средние значения за последние 6 доступных месяцев, по материнской компании оператора инфраструктуры.
NetChecks предоставляется исключительно для законной диагностики сети и образовательных целей, для систем, доменов и IP-адресов, которыми вы владеете или которые вы явно уполномочены тестировать.
Выполнение сканирования портов, DNS/whois-запросов, traceroute или других проверок в отношении сторонних систем без разрешения может нарушать законы о неправомерном использовании компьютеров в вашей юрисдикции (например, Computer Fraud and Abuse Act в США, «Loi Godfrain» во Франции или аналогичное местное законодательство). Только вы несёте ответственность за то, чтобы убедиться, что у вас есть право тестировать любую цель, указанную здесь.
Этот сайт и его результаты предоставляются «как есть», без каких-либо гарантий. Оператор этого сайта не несёт ответственности за любые прямые, косвенные или косвенные убытки, правовые последствия или неправомерное использование, возникшие в результате использования этого сайта.
Запросы ограничены по частоте для предотвращения злоупотреблений. Оператор этого экземпляра может по желанию включить журналирование активности запросов - в этом случае каждый запрос к инструменту (ваш IP-адрес, отметка времени, используемый инструмент и введённая цель/запрос) может записываться в базу данных в целях безопасности, предотвращения злоупотреблений и анализа использования. По умолчанию это отключено. Используя этот сайт, вы соглашаетесь с этими условиями; если вы не согласны, не используйте этот сайт.
Программное использование (API) этого сайта подчиняется тем же условиям, включая указанное выше требование авторизации.
Отправить отзыв
Сообщите о проблеме, оставьте комментарий или предложите новую функцию.
Этот сайт показывает рекламу и, если вы согласны, использует файлы cookie рекламных партнёров, чтобы помочь финансировать хостинг. Вы можете отказаться и продолжать пользоваться всеми инструментами без рекламы.