NET::ERR_CERT_DATE_INVALID: Zertifikatsdatum ungültig

So sieht die Meldung aus

Your clock is ahead
NET::ERR_CERT_DATE_INVALID
This server could not prove that it is cloud.example.com; its security certificate expired or is not yet valid.

Häufige Ursachen

• Die Uhr des Geräts ist falsch: leere CMOS-Batterie, eine VM aus einem Snapshot, ein Gerät ohne Netzwerkzeit oder eine falsche Zeitzone oder ein falsches Jahr.
• Das Server-Zertifikat ist wirklich abgelaufen und wurde nicht erneuert.
• Das Zertifikat ist noch nicht gültig (notBefore in der Zukunft), oft weil die Maschine, die es ausgestellt hat, eine falsche Uhr hatte.
• Ein Zertifikat in der Kette, etwa ein Zwischenzertifikat, ist abgelaufen, obwohl dein eigenes in Ordnung ist.

Prüfen

1. Gültigkeitsdaten des ausgelieferten Zertifikats
   echo | openssl s_client -connect cloud.example.com:443 -servername cloud.example.com 2>/dev/null | openssl x509 -noout -datesKopieren
2. Welche Zeit nimmt dieser Rechner an?
   date -uKopieren
3. Ist die Netzwerkzeit aktiv?
   timedatectl statusKopieren
4. Was sagt die Uhr des Servers?
   curl -sI https://cloud.example.com | grep -i '^date:'Kopieren

Lösung

• notBefore und notAfter mit dem heutigen Datum vergleichen. Liegt heute bei korrekter Uhr im Zeitraum, ist die Client-Uhr das Problem.
• Auf dem Client die Netzwerkzeit einschalten: sudo timedatectl set-ntp true, und die Zeitzone korrigieren. Auf Handys und PCs die automatische Einstellung für Datum und Uhrzeit nutzen.
• In virtuellen Maschinen die Zeitsynchronisierung mit dem Host aktivieren oder einen NTP-Client betreiben und nach dem Zurückspielen eines Snapshots die Zeit korrigieren.
• Ist das Zertifikat selbst abgelaufen, erneuern und den Webserver neu laden. Die Schritte stehen im Eintrag zum abgelaufenen Zertifikat.
• Ist es noch nicht gültig, die Uhr der ausstellenden Maschine korrigieren und das Zertifikat neu ausstellen.

Häufige Fragen

Warum sehen nur manche Nutzer diesen Fehler?

Diese Nutzer haben eine falsche Geräteuhr. Sehen ihn alle, liegt es am Zertifikat oder an der Uhr des Servers.

Warum scheitern auf demselben Rechner auch andere Seiten?

Alle HTTPS-Seiten werden gegen dieselbe falsche Uhr geprüft, ein falsches Datum lässt also viele Seiten gleichzeitig scheitern. Das ist das deutlichste Zeichen für ein Uhrenproblem.