ERR_SSL_PROTOCOL_ERROR: mitä virhe tarkoittaa ja miten korjaat sen

Klikkaat linkkiä, ja Chrome pysäyttää sinut: "Sivusto ei voi tarjota suojattua yhteyttä", ja perässä koodi ERR_SSL_PROTOCOL_ERROR. Ei "Jatka silti" -painiketta, ei selitystä, ei ilmeistä syytä. Sivu ei yksinkertaisesti lataudu.

Hyvä uutinen: virhe on lähes aina korjattavissa, usein alle viidessä minuutissa. Huono uutinen: sillä on enemmän mahdollisia syitä kuin useimmilla SSL-virheillä, koska se kattaa kaiken, mikä voi mennä pieleen itse TLS-kättelyn aikana. Tämä opas selittää, mitä virhe tarkoittaa, esittelee nopeimmat korjaukset kävijöille ja tarjoaa järjestelmällisen vianmäärityksen ylläpitäjille, jotka näkevät virheen omalla verkkotunnuksellaan.

Mitä ERR_SSL_PROTOCOL_ERROR oikeasti tarkoittaa

Jokainen HTTPS-yhteys alkaa TLS-kättelyllä: selain ja palvelin sopivat protokollaversiosta, valitsevat salausmenetelmät, vaihtavat avaimet ja vasta sen jälkeen sivuston varmenne tarkistetaan. ERR_SSL_PROTOCOL_ERROR tarkoittaa, että kättely katkesi. Neuvottelu epäonnistui ennen kuin varmenteen tarkistus ehti edes alkaa.

Juuri se erottaa virheen tutummista varmennevaroituksista. Kun Chrome näyttää "Yhteytesi ei ole yksityinen", kättely onnistui mutta varmenne ei läpäissyt tarkistusta. ERR_SSL_PROTOCOL_ERROR-virheessä selain ja palvelin eivät edes saaneet neuvottelua päätökseen. Tyypillisiä syitä: palvelin ei puhu TLS:ää kyseisessä portissa lainkaan, se tarjoaa vain protokollaversioita, joita selain ei suostu käyttämään, tai jokin niiden välissä (virustorjuntaproxy, yrityksen välilaite, oikutteleva reititin) on sotkenut kättelyn matkalla.

Modernit selaimet ovat tarkkoja protokollaversioista. Chrome, Firefox, Edge ja Safari poistivat TLS 1.0:n ja 1.1:n tuen vuonna 2020, ja IETF julisti molemmat versiot virallisesti vanhentuneiksi RFC 8996:ssa maaliskuussa 2021. Palvelin, joka yhä vaatii TLS 1.0:aa, tuottaa nykyselaimessa juuri tämän virheluokan.

Näin virhe eroaa lähivirheistä

Jos näet sen sijaan jonkin NET::ERR_CERT_*-koodeista, aloita oppaastamme "Yhteytesi ei ole yksityinen" -varoituksesta, joka käsittelee varmenneongelmat perusteellisesti.

Oletko kävijä? 8 korjausta, nopein ensin

1. Lataa sivu uudelleen ja kokeile incognito-ikkunaa. Vanhentunut välimuistiin jäänyt kättely tai häiriköivä laajennus sulkeutuu pois kymmenessä sekunnissa.
2. Kokeile toista verkkoa tai laitetta. Jos sivusto latautuu mobiilidatalla mutta ei Wi-Fillä, ongelma on reitittimessäsi, palomuurissasi tai verkossasi, ei sivustossa.
3. Tarkista laitteen päivämäärä ja kellonaika. TLS on aikaherkkä. Kuukausia väärässä oleva kello voi katkaista kättelyjä yllättävillä tavoilla. Ota automaattinen aika käyttöön.
4. Tyhjennä SSL-tila ja selaimen välimuisti. Windowsissa: Internet-asetukset, Sisältö-välilehti, "Tyhjennä SSL-tila". Chromessa: Asetukset, Tietosuoja ja turvallisuus, Poista selaustiedot.
5. Poista QUIC-kokeilu käytöstä. Avaa chrome://flags/#enable-quic, valitse Disabled ja käynnistä selain uudelleen. QUIC ajaa HTTP/3:a UDP:n päällä; jotkin palomuurit ja reitittimet käsittelevät sitä huonosti, ja Chromen pakottaminen takaisin TCP:hen klassisella TLS:llä ratkaisee sitkeät tapaukset.
6. Poista laajennukset käytöstä, aloita VPN- ja yksityisyystyökaluista. Kaikki liikennettä uudelleenkirjoittava voi rikkoa kättelyn.
7. Sammuta virustorjunnan HTTPS-skannaus väliaikaisesti. Monet tietoturvapaketit sieppaavat TLS:n allekirjoittamalla liikenteen uudelleen lennossa. Viallinen sieppari rikkoo kättelyt jokaisella sivustolla. Jos virhe katoaa, päivitä tai määritä ohjelmisto uudelleen ja kytke skannaus takaisin päälle.
8. Päivitä Chrome ja käyttöjärjestelmä. Hyvin vanhoista selaimista puuttuu tuki protokollaversioille, joita modernit palvelimet edellyttävät.

Jos virhe näkyy jokaisella laitteella ja jokaisessa verkossa, ongelma on palvelinpäässä. Lähetä tämä artikkeli sivuston ylläpitäjälle.

Onko kyseessä oma sivustosi? Diagnosoi minuuteissa

Aloita yhdellä kysymyksellä: puhuuko palvelin ylipäätään TLS:ää portissa 443? Yksi komento vastaa, miltä tahansa koneelta, jossa on OpenSSL:

openssl s_client -connect example.com:443 -servername example.com

Terve vastaus tulostaa neuvotellun protokollan, salauksen ja varmenneketjun. Jos näet sen sijaan "wrong version number", "handshake failure" tai raakaa HTML:ää, itse TLS-kerros on rikki. Voit myös testata tiettyjä protokollaversioita:

openssl s_client -connect example.com:443 -tls1_3
openssl s_client -connect example.com:443 -tls1_2

Haluatko ohittaa komentorivin? Ilmainen FortifyNet-skannaus lukee TLS-protokollatukesi, varmenneketjun, turvaotsakkeet, DNS:n ja sähköpostin todennuksen noin 60 sekunnissa ja osoittaa virheen tarkan sijainnin.

Kaksi tapausta ansaitsee tarkemman katseen.

Salaamaton HTTP portissa 443. Migraation tai kiireisen asetusmuutoksen jälkeen on yllättävän yleistä, että palvelinlohko kuuntelee porttia 443 ilman ssl-parametria. Selain avaa yhteyden odottaen TLS ServerHello -viestiä ja saa HTTP-vastauksen. Kättely kuolee heti, juuri tällä virheellä.

Cloudflare ja virhe 525. Proxytettyjen DNS-tietueiden kanssa kävijät tekevät TLS-kättelyn Cloudflaren kanssa, ja Cloudflare avaa toisen TLS-yhteyden origin-palvelimeesi. Jos tämä toinen kättely epäonnistuu, Cloudflare palauttaa virheen 525, ja selaimet näyttävät sen usein protokollavirheenä. Ratkaisu on kelvollinen varmenne originissa ja Cloudflaren SSL-tila "Full (strict)".

Määritä protokollat kuin olisi 2026

TLS 1.3 ei ole enää harvinaisuus: se kuljettaa jo noin 60% Cloudflaren reunalla mitatusta salatusta liikenteestä vuoden 2025 puolivälissä Cloudflare Radarin mukaan, ja TLS 1.2 hoitaa lähes kaiken lopun.

TLS-versioiden osuus salatusta verkkoliikenteestä vuoden 2025 puolivälissä. Lähde: Cloudflare Radar.

Turvallinen moderni pohja nginxille:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;

Luo koko määritys, mukaan lukien palvelinversioosi sovitetut salausmenetelmät, Mozillan SSL Configuration Generatorilla. Kun olet asetuksissa, lisää samalla HSTS, jotta selaimet eivät enää koskaan yritä salaamatonta HTTP:tä; HSTS-oppaamme selittää otsakkeen yksityiskohtaisesti.

Usein kysytyt kysymykset

Onko ERR_SSL_PROTOCOL_ERROR merkki vaarallisesta sivustosta? Ei. Se kertoo teknisestä viasta, ei hyökkäyksestä. Koska suojattua kanavaa ei kuitenkaan syntynyt, selain kieltäytyy lähettämästä mitään tietoja. Älä yritä kiertää virhettä sivustolla, jolle kirjautuisit tai jossa maksaisit.

Miksi virhe näkyy Chromessa mutta ei Firefoxissa? Selaimet käyttävät eri TLS-pinoja ja oletusasetuksia; Chrome on lisäksi aggressiivisempi QUIC:n ja HTTP/3:n kanssa. Sivusto, joka kaatuu yhdessä suuressa selaimessa, on silti väärin määritetty, vaikka toinen selain sen sallisi.

Miksi vain minä saan virheen, yhdellä laitteella? Se viittaa paikalliseen syyhyn: väärä kello, TLS:ää sieppaava virustorjunta, rikkinäinen laajennus tai korruptoitunut SSL-tila. Käy läpi kävijäkorjaukset 3-7 yllä.

Voiko vanhentunut varmenne aiheuttaa ERR_SSL_PROTOCOL_ERROR-virheen? Vanhentuminen tuottaa yleensä virheen NET::ERR_CERT_DATE_INVALID. Jotkin palvelinpinot käsittelevät vanhentuneita tai viallisia varmenteita kuitenkin niin huonosti, että koko kättely katkeaa. Voimassaolon tarkistus vie sekunteja, joten sulje se pois ensin.

Aiheeseen liittyvät oppaat

• "Yhteytesi ei ole yksityinen": mitä virhe tarkoittaa ja miten korjaat sen
• SSL/TLS-varmenteet: Täydellinen opas A+-arvosanaan
• Mikä on HSTS? HTTP Strict Transport Security selitettynä

Löydä vikakohta 60 sekunnissa

ERR_SSL_PROTOCOL_ERROR-virheellä on tusina mahdollista syytä, mutta sivustollasi niistä on täsmälleen yksi. Aja ilmainen FortifyNet-skannaus: se testaa TLS-protokollaversiosi, varmenneketjun, turvaotsakkeet, DNS:n ja sähköpostin todennuksen ilman rekisteröitymistä ja kertoo selvällä kielellä, mitä korjata ensin.