رفع خطای اتصال شما خصوصی نیست (Your Connection Is Not Private)

این پیام هشداری است که مرورگرهایی مانند کروم، فایرفاکس و اج زمانی نمایش می‌دهند که نتوانند صحت گواهی SSL/TLS سایت مقصد را تأیید کنند. مرورگر پیش از برقراری اتصال، گواهی سایت را از نظر تاریخ اعتبار، صادرکننده و تطابق دامنه بررسی می‌کند و اگر هر یک از این موارد مشکل داشته باشد، برای محافظت از داده‌های کاربر اتصال را مسدود کرده و این هشدار را نشان می‌دهد.

نه لزوما. در بیشتر موارد این خطا ناشی از تنظیمات نادرست تاریخ و ساعت سیستم، منقضی شدن گواهی SSL سایت، یا تداخل نرم‌افزارهای امنیتی است، نه نفوذ یا هک. با این حال چون امکان حمله مرد میانی (MITM) هم یکی از دلایل نادر آن است، توصیه می‌شود بدون بررسی دقیق علت، وارد اطلاعات حساس مانند رمز عبور یا شماره کارت بانکی در سایت نشوید.

بله، به‌طور کلی خطرناک تلقی می‌شود زیرا اتصال رمزنگاری‌شده و امن بین مرورگر و سرور تضمین نشده است. این یعنی داده‌هایی مانند نام کاربری، رمز عبور یا اطلاعات پرداخت که ارسال می‌کنید ممکن است توسط شخص ثالث قابل رهگیری باشد. اگر علت خطا صرفاً تاریخ نادرست سیستم شماست خطر کمتر است، اما تا رفع کامل مشکل بهتر است از وارد کردن اطلاعات حساس خودداری کنید.

هر مرورگر فهرست مستقل خودش از مراجع صدور گواهی معتبر (Trust Store) و همچنین کش SSL جداگانه دارد. ممکن است کروم به‌روزرسانی شده و لیست گواهی‌های نامعتبر جدیدی دریافت کرده باشد در حالی که فایرفاکس هنوز آن به‌روزرسانی را اعمال نکرده است. همچنین افزونه‌ها، تنظیمات پروکسی یا نرم‌افزار امنیتی نصب‌شده روی یک مرورگر خاص می‌تواند باعث بروز اختصاصی این خطا شود.

این خطا مخصوص گوگل کروم و مرورگرهای مبتنی بر Chromium مانند Microsoft Edge و Brave است و متن دقیق آن «Your connection is not private» می‌باشد. فایرفاکس همین مشکل را با عنوان «Warning: Potential Security Risk Ahead» و سافاری با پیام «This Connection Is Not Private» نمایش می‌دهد. علت‌های فنی زیربنایی در همه مرورگرها یکسان است، فقط متن و طراحی صفحه هشدار متفاوت است.

برچسب «Not Secure» معمولاً برای سایت‌هایی نمایش داده می‌شود که اصلاً از پروتکل HTTPS استفاده نمی‌کنند و ترافیک آن‌ها به‌صورت متن ساده منتقل می‌شود، اما مرورگر همچنان اجازه بارگذاری صفحه را می‌دهد. در مقابل، «اتصال شما خصوصی نیست» خطای شدیدتری است که نشان می‌دهد سایت از HTTPS استفاده می‌کند اما گواهی آن معتبر نیست، و مرورگر به‌طور کامل جلوی دسترسی را می‌گیرد مگر کاربر آگاهانه ادامه دهد.

در بسیاری از گوشی‌های اندروید و آیفون، قابلیت تنظیم خودکار تاریخ و ساعت (Automatic Date & Time) به دلیل تغییر منطقه زمانی، ضعف آنتن یا خاموش بودن داده موبایل به‌درستی کار نمی‌کند و ساعت گوشی چند دقیقه تا چند روز اختلاف پیدا می‌کند. از آنجا که گواهی‌های SSL نسبت به بازه زمانی بسیار حساس هستند، همین اختلاف کوچک کافی است تا خطای NET::ERR_CERT_DATE_INVALID روی موبایل ظاهر شود.

خیر. بسیاری از سایت‌های معتبر و شناخته‌شده هم به‌طور موقت به دلیل فراموش کردن تمدید گواهی SSL یا مشکل در پیکربندی سرور دچار این خطا می‌شوند. ملاک قابل اعتماد بودن سایت، سابقه و شهرت آن است، نه صرفاً وجود این خطا در یک لحظه خاص. با این حال تا زمانی که گواهی سایت اصلاح نشود، بهتر است اطلاعات حساس در آن وارد نشود.

این علامت نشان می‌دهد مرورگر اتصال HTTPS را ناامن تشخیص داده است؛ معمولاً به دلیل گواهی منقضی، خودامضا (self-signed) یا محتوای مخلوط (mixed content) که در آن بخشی از منابع صفحه از طریق HTTP بارگذاری می‌شوند. با کلیک روی این آیکن می‌توانید جزئیات دقیق گواهی از جمله تاریخ انقضا و مرجع صادرکننده را در پنجره‌ای که کروم باز می‌کند مشاهده کنید.

بر اساس منابع به‌روز مانند Hostinger و Kinsta، اولین و مؤثرترین اقدام بررسی و تنظیم تاریخ، ساعت و منطقه زمانی سیستم یا گوشی است، نه پاک کردن کش یا تعویض مرورگر. حتی اختلاف چند دقیقه‌ای بین ساعت دستگاه و زمان واقعی کافی است تا مرورگر گواهی SSL معتبر سایت را نامعتبر تشخیص دهد، پس پیش از هر اقدام دیگری این مورد را کنترل کنید.

در ویندوز از مسیر Settings > Time & Language و در مک از System Settings > General > Date & Time گزینه «تنظیم خودکار زمان» یا Set time automatically را فعال کنید. در اندروید و آیفون نیز باید در تنظیمات General یا System به بخش Date & Time رفته و Automatic Date & Time را روشن کنید. پس از اعمال تغییرات، مرورگر را کاملاً ببندید و دوباره باز کنید.

مرورگرها اطلاعات گواهی SSL سایت‌هایی که قبلاً بازدید کرده‌اید را به‌صورت موقت کش می‌کنند تا سرعت اتصال بعدی بالاتر برود. اگر گواهی سایت به‌تازگی تمدید یا تغییر کرده باشد اما نسخه قدیمی آن در کش باقی مانده باشد، مرورگر همچنان همان خطای قبلی را نمایش می‌دهد. پاک کردن کش و کوکی‌های SSL از تنظیمات Privacy and Security مرورگر این تناقض را برطرف می‌کند.

برخی مواقع سرورهای DNS ارائه‌دهنده اینترنت شما پاسخ نادرست یا کهنه‌ای برای آدرس IP سایت ارسال می‌کنند که باعث بروز خطای گواهی می‌شود. با تغییر DNS سیستم به سرویس‌های عمومی و سریع مانند 1.1.1.1 (Cloudflare) یا 8.8.8.8 (Google) از طریق تنظیمات شبکه ویندوز یا مک، و سپس اجرای دستور ipconfig /flushdns در ویندوز، می‌توانید این مشکلات ارتباطی را برطرف کنید.

برخی آنتی‌ویروس‌ها با قابلیت «HTTPS Scanning» یا «SSL Scanning» گواهی اصلی سایت را با گواهی موقت خودشان جایگزین می‌کنند تا ترافیک رمزنگاری‌شده را بازرسی کنند؛ این کار گاهی باعث می‌شود مرورگر گواهی جایگزین را نامعتبر تشخیص دهد. برای بررسی، به تنظیمات آنتی‌ویروس رفته و در بخش وب یا اینترنت پروتکشن، گزینه اسکن HTTPS یا SSL را موقتاً غیرفعال کرده و صفحه را دوباره بارگذاری کنید.

در بسیاری از موارد بله. برخی VPNها یا پراکسی‌ها ترافیک HTTPS را از طریق سرورهای واسط خود عبور می‌دهند و ممکن است گواهی سایت مقصد را به‌درستی منتقل نکنند یا با گواهی جعلی جایگزین کنند. اگر پس از قطع موقت VPN خطا برطرف شد، مشکل از سرویس VPN بوده است؛ در این حالت می‌توانید سرور VPN را عوض کنید یا با پشتیبانی آن سرویس تماس بگیرید.

حالت ناشناس یا Incognito مرورگر را بدون بارگذاری کش، کوکی و افزونه‌های نصب‌شده اجرا می‌کند. اگر خطای گواهی در این حالت دیگر ظاهر نشود، به این معناست که علت اصلی مشکل یکی از افزونه‌های مرورگر یا داده‌های کش قدیمی بوده است، نه خود سایت. در این صورت باید افزونه‌های امنیتی یا تبلیغاتی مشکوک را یک‌به‌یک غیرفعال کرده و منبع دقیق مشکل را پیدا کنید.

در نسخه‌های جدید کروم روی آیکن قفل یا علامت «Not Secure» کنار آدرس سایت کلیک کرده و گزینه «Connection is secure» یا «Certificate is not valid» را انتخاب کنید تا جزئیات صادرکننده، تاریخ صدور و تاریخ انقضای گواهی نمایش داده شود. این مسیر نسبت به نسخه‌های قدیمی کروم تغییر کرده و دیگر مستقیماً از منوی سه‌نقطه در دسترس نیست، پس باید حتماً از خود آیکن قفل استفاده کنید.

اگر پس از بررسی تاریخ سیستم، پاک کردن کش، تغییر DNS و غیرفعال کردن آنتی‌ویروس و VPN همچنان خطا باقی ماند، احتمالاً مشکل از سمت خود سرور سایت است، مثلاً گواهی واقعاً منقضی شده یا به‌درستی نصب نشده. در این حالت باید موضوع را از طریق پشتیبانی سایت یا مدیر هاستینگ آن گزارش دهید، زیرا رفع نهایی مشکل نیازمند اقدام صاحب سایت برای تمدید یا نصب صحیح گواهی SSL است.

این پرکاربردترین کد خطای مرتبط با «اتصال شما خصوصی نیست» است و نشان می‌دهد بازه زمانی اعتبار گواهی SSL سایت (تاریخ صدور تا تاریخ انقضا) با تاریخ و ساعت فعلی سیستم شما همخوانی ندارد. این ناهماهنگی می‌تواند به دلیل تنظیم نادرست ساعت دستگاه کاربر یا واقعاً منقضی شدن گواهی سرور رخ دهد، و رایج‌ترین راه‌حل آن، همگام‌سازی خودکار تاریخ و ساعت سیستم است.

NET::ERR_CERT_AUTHORITY_INVALID زمانی نمایش داده می‌شود که گواهی توسط یک مرجع صدور گواهی (CA) صادر شده که در فهرست مراجع مورد اعتماد مرورگر یا سیستم‌عامل قرار ندارد، مثلاً گواهی خودامضا. اما NET::ERR_CERT_COMMON_NAME_INVALID زمانی رخ می‌دهد که گواهی توسط CA معتبر صادر شده، ولی نام دامنه ثبت‌شده در آن (Common Name) با آدرس واقعی سایتی که باز کرده‌اید مطابقت ندارد.

خطای NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM زمانی رخ می‌دهد که گواهی سایت با استفاده از الگوریتم‌های قدیمی و ناامن مانند SHA-1 یا MD5 امضا شده باشد. مرورگرهای مدرن به دلیل ضعف امنیتی شناخته‌شده این الگوریتم‌ها در برابر حملات برخورد (Collision Attack)، از سال‌ها پیش پشتیبانی از آن‌ها را متوقف کرده‌اند و به سرورها الگوریتم SHA-256 یا بالاتر را توصیه می‌کنند.

این خطا معمولاً به دلیل ناسازگاری نسخه پروتکل TLS بین مرورگر و سرور رخ می‌دهد؛ برای مثال سروری که هنوز از TLS 1.0 یا 1.1 قدیمی استفاده می‌کند در حالی که مرورگرهای جدید این نسخه‌ها را به دلیل آسیب‌پذیری امنیتی غیرفعال کرده‌اند. راه‌حل آن معمولاً از سمت مدیر سرور و به‌روزرسانی پیکربندی TLS به نسخه 1.2 یا 1.3 است.

این خطا نشان می‌دهد گواهی سایت پیش از تاریخ انقضای اصلی‌اش، توسط مرجع صدورکننده به‌طور فعال باطل (Revoke) شده است. دلایل رایج ابطال شامل افشای کلید خصوصی سایت، تغییر مالکیت دامنه، یا درخواست خود صاحب سایت برای صدور گواهی جدید است. مرورگر این وضعیت را از طریق پروتکل‌های OCSP یا لیست ابطال گواهی (CRL) بررسی می‌کند.

HSTS یا HTTP Strict Transport Security سازوکاری است که به مرورگر دستور می‌دهد همیشه از HTTPS برای یک دامنه خاص استفاده کند و هیچ استثنایی برای گواهی نامعتبر نپذیرد. برای سایت‌هایی که HSTS فعال دارند، گزینه «Proceed anyway» یا «ادامه به سایت» در صفحه خطا اصلاً نمایش داده نمی‌شود و کاربر تا رفع کامل مشکل گواهی امکان دسترسی به سایت را ندارد.

برخی گواهی‌های SSL فقط برای دامنه اصلی (مثل example.com) صادر می‌شوند و ساب‌دامنه‌هایی مانند shop.example.com یا mail.example.com را پوشش نمی‌دهند، مگر اینکه گواهی از نوع Wildcard (با الگوی *.example.com) خریداری شده باشد. اگر مدیر سایت فراموش کند برای هر ساب‌دامنه گواهی جداگانه یا Wildcard تهیه کند، کاربران هنگام باز کردن آن ساب‌دامنه با خطای CERT_COMMON_NAME_INVALID مواجه می‌شوند.

بسیاری از شبکه‌های سازمانی از فایروال‌ها یا پروکسی‌های بازرسی SSL استفاده می‌کنند که ترافیک HTTPS کارمندان را رمزگشایی و دوباره با گواهی داخلی شرکت رمزنگاری می‌کنند. اگر گواهی ریشه (Root Certificate) این پروکسی روی سیستم کاربر به‌درستی نصب و مورد اعتماد قرار نگرفته باشد، مرورگر آن را به‌عنوان گواهی نامعتبر تشخیص می‌دهد و خطای CERT_AUTHORITY_INVALID نمایش می‌دهد.

خیر، در اکثریت قریب به‌اتفاق موارد رفع این خطا برای کاربر کاملاً رایگان است، زیرا راه‌حل‌هایی مانند تنظیم تاریخ و ساعت، پاک کردن کش مرورگر، تغییر DNS یا غیرفعال کردن موقت VPN و آنتی‌ویروس هیچ هزینه‌ای در بر ندارند و در چند دقیقه از طریق تنظیمات سیستم و مرورگر قابل انجام هستند. هزینه واقعی معمولاً فقط زمانی مطرح می‌شود که مشکل از سمت خود سرور سایت باشد.

قیمت گواهی‌های SSL بسته به نوع و سطح اعتبارسنجی متفاوت است؛ گواهی‌های Domain Validation (DV) ساده معمولاً بین ۵۰۰ هزار تا ۲ میلیون تومان در سال هزینه دارند، در حالی که گواهی‌های Organization Validation (OV) و Extended Validation (EV) با بررسی هویت شرکت می‌توانند از ۳ تا بیش از ۱۰ میلیون تومان سالانه متغیر باشند. قیمت‌ها بسته به ارائه‌دهنده داخلی یا خارجی نوسان دارد.

از نظر قدرت رمزنگاری، گواهی‌های رایگان مانند Let's Encrypt هیچ تفاوتی با گواهی‌های پولی DV ندارند و هر دو از همان استانداردهای TLS استفاده می‌کنند. تفاوت اصلی در سطح اعتبارسنجی هویت و پشتیبانی است؛ گواهی‌های پولی OV و EV هویت سازمان را تأیید می‌کنند و معمولاً برای سایت‌های بانکی، فروشگاهی و دولتی که نیاز به اعتماد بیشتر کاربران دارند مناسب‌ترند.

اگر خطا از تنظیمات نادرست سرور، عدم زنجیره کامل گواهی (Certificate Chain) یا اشتباه در نصب گواهی نشأت بگیرد و صاحب سایت دانش فنی کافی نداشته باشد، هزینه استخدام یک متخصص هاستینگ یا DevOps برای رفع یک‌باره این مشکل معمولاً بین ۵۰۰ هزار تا ۲ میلیون تومان بسته به پیچیدگی سرور و شرکت ارائه‌دهنده خدمات متغیر است.

کلیک روی گزینه «Proceed anyway» به‌خودی‌خود هزینه مستقیمی ندارد، اما اگر سایت واقعاً هدف حمله مرد میانی باشد و کاربر اطلاعات کارت بانکی یا رمز عبور خود را وارد کند، ریسک برداشت غیرمجاز وجه یا سرقت هویت وجود دارد که می‌تواند خسارت مالی قابل توجهی به همراه داشته باشد. به همین دلیل توصیه می‌شود در سایت‌های پرداختی هرگز از این هشدار عبور نکنید.

بسیاری از شرکت‌های هاستینگ به دلیل قرارداد شراکت با Let's Encrypt یا Sectigo، گواهی‌های DV پایه را به‌صورت رایگان و خودکار برای مشتریان خود صادر می‌کنند تا هزینه ورودی مشتری کاهش یابد. در مقابل، گواهی‌های سطح بالاتر مانند OV و EV نیازمند بررسی دستی مدارک هویتی شرکت هستند و همین فرآیند احراز هویت هزینه اضافی برای هاستینگ و در نتیجه برای مشتری ایجاد می‌کند.

برای گواهی‌های رایگان مانند Let's Encrypt که هر ۹۰ روز به‌صورت خودکار تمدید می‌شوند، هزینه نگهداری صفر است اما نیازمند تنظیم صحیح ابزار تمدید خودکار روی سرور است. برای گواهی‌های پولی، هزینه نگهداری سالانه همان هزینه تمدید گواهی است که بسته به نوع آن از حدود ۵۰۰ هزار تا چند میلیون تومان متغیر است و باید هر سال پیش از انقضا پرداخت شود.

بله و این هزینه می‌تواند به‌مراتب بیشتر از قیمت خود گواهی باشد. منقضی شدن گواهی باعث نمایش خطای «اتصال شما خصوصی نیست» به تمام بازدیدکنندگان می‌شود که مستقیماً منجر به افت شدید نرخ تبدیل فروش، کاهش رتبه در نتایج گوگل و آسیب به اعتبار برند می‌شود. برای فروشگاه‌های آنلاین این وقفه حتی چند ساعته می‌تواند به از دست رفتن چشمگیر درآمد بینجامد.

بله، از نظر قانونی هیچ منعی برای کاربر جهت مشاهده سایتی که خطای گواهی نشان می‌دهد وجود ندارد و تصمیم به ادامه مرور کاملاً بر عهده خود کاربر است. با این حال این مجاز بودن قانونی به معنای امن بودن فنی نیست؛ مرورگر صرفاً هشدار می‌دهد و مسئولیت ریسک احتمالی ناشی از افشای اطلاعات را به کاربر منتقل می‌کند.

در بسیاری از حوزه‌های قضایی از جمله مقررات حریم خصوصی داده و مقررات مشابه بین‌المللی، صاحبان سایت‌هایی که اطلاعات کاربری، مالی یا هویتی جمع‌آوری می‌کنند موظف به رعایت استانداردهای امنیتی معقول از جمله رمزنگاری ارتباط با HTTPS هستند. غفلت در تمدید گواهی SSL که منجر به افشای اطلاعات کاربران شود می‌تواند مبنای مسئولیت مدنی و شکایت از سوی کاربران آسیب‌دیده قرار گیرد.

اگر کاربر با وجود مشاهده هشدار گواهی نامعتبر، آگاهانه روی «Proceed anyway» کلیک کند و متحمل خسارت شود، اثبات مسئولیت سایت دشوارتر خواهد بود زیرا هشدار به‌وضوح نمایش داده شده بوده است. اما اگر صاحب سایت از عمد گواهی معتبر تهیه نکرده و اطلاعات کاربران بدون رمزنگاری منتقل و افشا شده باشد، کاربر می‌تواند بر اساس قوانین حمایت از مصرف‌کننده و حریم خصوصی داده اقامه دعوا کند.

مقررات حفاظت از داده مانند GDPR در اروپا صراحتاً کلمه SSL را ذکر نمی‌کنند، اما سازمان‌ها را موظف به اجرای «اقدامات فنی مناسب» برای حفاظت از داده شخصی کاربران می‌کنند که رمزنگاری ترافیک وب از طریق HTTPS یکی از پذیرفته‌شده‌ترین مصداق‌های آن است. نداشتن گواهی معتبر می‌تواند در بازرسی‌های نظارتی به‌عنوان نقض تعهد امنیتی سازمان تلقی شود.

بله، در بسیاری از کشورها از جمله ایران، سازمان‌های نظارتی حوزه بانکداری و دولت الکترونیک، استفاده از گواهی SSL معتبر و به‌روز را به‌عنوان یکی از الزامات امنیتی اجباری برای درگاه‌های پرداخت و سامانه‌های دولتی تعیین کرده‌اند. عدم رعایت این الزام می‌تواند منجر به تعلیق مجوز فعالیت آنلاین یا جریمه از سوی نهاد ناظر شود.

کلیک روی گزینه ادامه مرور، از نظر حقوقی نوعی «رضایت آگاهانه» کاربر نسبت به ریسک اعلام‌شده محسوب می‌شود و در صورت بروز خسارت، اثبات تقصیر کامل سایت را دشوارتر می‌کند. با این حال این رضایت، صاحب سایت را از تعهدات قانونی پایه‌ای مانند رعایت استانداردهای امنیتی حداقلی معاف نمی‌کند، به‌ویژه اگر سایت داده‌های حساس مانند اطلاعات پزشکی یا مالی پردازش کند.

در موارد نادر اما مستندی، برخی ارائه‌دهندگان خدمات اینترنت یا شبکه‌های دارای فیلترینگ با تزریق گواهی جعلی یا بازنویسی ترافیک HTTPS باعث بروز این خطا می‌شوند که این اقدام در بسیاری از چارچوب‌های حقوقی نوعی دخالت غیرمجاز در ارتباطات خصوصی کاربر تلقی می‌شود. اثبات این موضوع نیازمند بررسی فنی دقیق گواهی نمایش داده‌شده و مقایسه آن با گواهی اصلی سایت است.

مراجع صدور گواهی (Certificate Authority) طبق استانداردهای صنعتی مانند برنامه ریشه مرورگرها (Root Program) موظف‌اند اعتبارسنجی صحیح هویت متقاضی و امنیت زیرساخت صدور گواهی را تضمین کنند. اگر یک CA به دلیل قصور در اعتبارسنجی، گواهی جعلی برای یک دامنه صادر کند، ممکن است توسط برنامه‌های ریشه گوگل و موزیلا از فهرست مورد اعتماد حذف شود و در برخی موارد با پیگرد حقوقی نیز مواجه گردد.