Chrome ERR_BAD_SSL_CLIENT_AUTH_CERT

Bu hata, tarayıcının sunucuya sunduğu istemci sertifikasının geçersiz bulunması ya da el sıkışmanın bu sertifikayla tamamlanamaması halinde görünür. Önceki hatada sertifika hiç yoktu; burada sertifika var ama kullanılamıyor.

Belirtiler

• Sertifika seçtikten sonra sayfa açılmaz ve ERR_BAD_SSL_CLIENT_AUTH_CERT görünür.
• Aynı sertifika başka bilgisayarda çalışır, bu bilgisayarda çalışmaz.
• Sunucu günlüğünde istemci doğrulama hatası (örneğin Nginx'te 400 "The SSL certificate error") görülür.

Olası nedenler

1. Sertifikanın süresi dolmuş veya henüz geçerli değil (cihaz saati yanlış).
2. Sertifika, sunucunun güvendiği CA'dan düzenlenmemiş ya da ara sertifika eksik.
3. Sertifika iptal edilmiş (CRL/OCSP).
4. Özel anahtar cihazda bulunmuyor veya erişim izni reddedildi.
5. Sertifikanın kullanım amacı (EKU) "İstemci Kimlik Doğrulama" içermiyor.
6. Akıllı kart/token takılı değil ya da PIN girilmedi.

Adım adım çözüm

1. Cihazın tarih ve saatini düzeltin.
2. Sertifikayı inceleyin:

   openssl pkcs12 -in istemci.pfx -clcerts -nokeys | openssl x509 -noout -subject -issuer -dates -purpose

   Purpose çıktısında SSL client : Yes satırını arayın.
3. Düzenleyen CA'nın sunucuda ssl_client_certificate ile tanımlı CA olduğunu kontrol edin.
4. Gerekirse PFX dosyasını ara sertifikalarla birlikte yeniden oluşturun ve içe aktarın.
5. Yanlış sertifikaların seçilmesini önlemek için eski veya süresi dolmuş sertifikaları kişisel depodan kaldırın.
6. Sorun sürüyorsa sertifikanın düzenleyicisinden yeniden düzenleme talep edin.

Sunucu tarafı kontrol

Doğrulama derinliğini ve CA zincirini kontrol edin. Nginx'te:

ssl_verify_client on;
ssl_verify_depth 2;
ssl_client_certificate /etc/ssl/istemci-ca.pem;

Önleme

• İstemci sertifikaları için bitiş uyarısı planlayın.
• PFX parolalarını güvenli ortamda saklayın ve paylaşmayın.
• İptal edilen sertifikaların CRL yayınını güncel tutun.

Genel sunucu sertifikanız için SSL Checker, diğer olası nedenlerin elenmesi için SSL sorun giderici kullanılabilir.