NET::ERR_CERT_DATE_INVALID: data del certificato non valida

Come appare il messaggio

Your clock is ahead
NET::ERR_CERT_DATE_INVALID
This server could not prove that it is cloud.example.com; its security certificate expired or is not yet valid.

Cause frequenti

• L'orologio del dispositivo è sbagliato: batteria CMOS scarica, una VM ripristinata da uno snapshot, un dispositivo senza ora di rete o fuso orario o anno errati.
• Il certificato del server è davvero scaduto e non è stato rinnovato.
• Il certificato non è ancora valido (notBefore nel futuro), spesso perché la macchina che lo ha emesso aveva l'orologio sbagliato.
• Un certificato della catena, come un intermedio, è scaduto anche se il tuo è a posto.

Verifica

1. Date di validità del certificato servito
   echo | openssl s_client -connect cloud.example.com:443 -servername cloud.example.com 2>/dev/null | openssl x509 -noout -datesCopia
2. Che ora crede di avere questa macchina?
   date -uCopia
3. L'ora di rete è attiva?
   timedatectl statusCopia
4. Cosa dice l'orologio del server?
   curl -sI https://cloud.example.com | grep -i '^date:'Copia

Soluzione

• Confronta notBefore e notAfter con la data di oggi. Se con un orologio corretto oggi è nell'intervallo, il problema è l'orologio del client.
• Sul client attiva l'ora di rete: sudo timedatectl set-ntp true e correggi il fuso orario. Su telefoni e PC usa l'impostazione automatica di data e ora.
• Nelle macchine virtuali attiva la sincronizzazione dell'ora con l'host o usa un client NTP, e correggi l'ora dopo il ripristino di uno snapshot.
• Se il certificato stesso è scaduto, rinnovalo e ricarica il web server. I passaggi sono nella voce sul certificato scaduto.
• Se non è ancora valido, correggi l'orologio della macchina che lo ha emesso e riemetti il certificato.

Domande frequenti

Perché solo alcuni utenti vedono questo errore?

Quegli utenti hanno l'orologio del dispositivo sbagliato. Se lo vedono tutti, la causa è il certificato o l'orologio del server.

Perché sullo stesso computer falliscono anche altri siti?

Tutti i siti HTTPS vengono controllati con lo stesso orologio sbagliato, quindi una data errata fa fallire molti siti insieme. È il segno più chiaro di un problema di orologio.