ERR_SSL_VERSION_OR_CIPHER_MISMATCH Hatası ve Çözümü

ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatasıyla karşılaşan ziyaretçi sayfayı hiç göremez ve devam etme seçeneği de bulamaz. Aşağıda hatanın nedenlerini, sunucu tarafındaki TLS yapılandırmasını, mobil cihazlarda karşılaşılan özel durumları ve her iki taraf için uygulanabilecek adımları bulacaksınız.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH Hatası Nedir?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH, tarayıcı ile sunucunun TLS el sıkışması sırasında ortak bir protokol sürümü veya şifre paketi üzerinde anlaşamadığını bildiren Chromium hata kodudur. Görüşme yarıda kesildiği için sayfa hiç yüklenmez. Chrome bu durumda aşağıdaki ekranı gösterir:

This site can’t provide a secure connection

alanadi.com uses an unsupported protocol.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH

HTTPS bağlantısı kurulurken tarayıcı, desteklediği TLS sürümlerini ve şifre paketlerini (cipher suite) sunucuya bildirir. Sunucu bu listeden en az bir seçeneği desteklemiyorsa el sıkışma tamamlanmaz. Adından anlaşılacağı gibi hatanın iki ayrı kökeni olabilir: taraflar ya ortak bir protokol sürümünde buluşamamıştır ya da sürüm uyuşsa bile ortak bir şifreleme algoritması kümesi bulunamamıştır.

Chromium bu hatayı ağ hata listesinde -113 numarasıyla tanımlar. Bu nedenle eski sürümlerde ve sunucu kayıtlarında aynı sorun Error 113 biçiminde de görünebilir.

Hatanın önemli bir özelliği, sertifikanın görülüp reddedildiği durumlardan farklı olmasıdır. Sertifika süresi geçmiş ya da alan adıyla uyuşmuyorsa tarayıcı çoğunlukla devam etme seçeneği sunar; hangi kodun üretileceği, sunucunun el sıkışmayı hangi aşamada sonlandırdığına bağlıdır. Bu hatada ise şifreli kanal kurulamadığı için tarayıcı sertifikayı inceleme aşamasına ulaşmaz ve atlama seçeneği göstermez. Bu da sorunun büyük ölçüde sunucu tarafında çözülmesi gerektiği anlamına gelir.

Hatanın Tarayıcılara Göre Görünümü

Hata kodu Chromium altyapısına aittir. Chrome, Edge, Opera ve Brave aynı kodu gösterir. Firefox ise iki durumu ayrı kodlarla bildirir: protokol sürümü kaynaklı durumlarda SSL_ERROR_UNSUPPORTED_VERSION, şifre paketi uyuşmazlığında SSL_ERROR_NO_CYPHER_OVERLAP kodunu gösterir. Chromium her iki durumu tek kodda topladığı için ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası Firefox tarafında iki farklı mesaja karşılık gelir. Safari ise güvenli bağlantı kurulamadığını belirten daha genel bir ifade kullanır.

Bu fark, ziyaretçi bildirimlerini değerlendirirken işe yarar. Farklı kullanıcılardan farklı hata metinleri gelmesi, sorunun farklı olduğu anlamına gelmez. Teşhis sırasında gizli pencerede test etmek de hızlı bir eleme sağlar: eklentiler varsayılan olarak devre dışı kaldığı için hata gizli pencerede kayboluyorsa kaynak bir eklenti veya önbellektir, sürüyorsa dikkati sunucu yapılandırmasına veya cihazdaki güvenlik yazılımına yöneltmek gerekir.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH Neden Oluşur?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası birbirinden farklı yapılandırma sorunlarından doğabilir. Nedenleri doğru gruplamak, gereksiz denemelerle zaman kaybetmeden çözüme ulaşmayı kolaylaştırır.

• Eski TLS sürümlerine bağımlılık: Yalnızca SSL 3.0, TLS 1.0 veya TLS 1.1 destekleyen sunucular, bu protokolleri devre dışı bırakan modern tarayıcılarla iletişim kuramaz.
• Zayıf veya devre dışı bırakılmış şifre paketleri: RC4 ve 3DES gibi paketler güncel tarayıcılar tarafından engellenir; sunucu yalnızca bunları sunuyorsa el sıkışma başarısız olur.
• El sıkışmada SHA-1 imzasına bağımlılık: Chrome, TLS 1.2 el sıkışmasındaki sunucu imzalarında SHA-1 desteğini kaldırdı. Sunucu yalnızca SHA-1 tabanlı imza algoritmaları sunabiliyorsa müzakere ortak bir zemin bulamaz. Sertifikanın kendisinin SHA-1 ile imzalanmış olması ise bu koddan farklı, ayrı bir sertifika uyarısı üretir.
• Sertifikanın alan adını kapsamaması: Sertifikanın CN veya SAN alanı ziyaret edilen adresi içermiyorsa Chrome, daha spesifik olan ad uyuşmazlığı hatası yerine bu kodu gösterebilir. Aynı IP üzerinde birden fazla site barındıran sunucularda yanlış sanal host tanımı da yanlış sertifikanın sunulmasına yol açar.
• Anahtar tipi ile şifre paketlerinin uyuşmaması: Sertifika RSA anahtarı taşırken yalnızca ECDSA tabanlı paketlerin etkin bırakılması ya da tersi, sık görülen bir yapılandırma hatasıdır.
• Araya giren güvenlik yazılımları: HTTPS trafiğini denetleyen antivirüs, güvenlik duvarı, VPN veya kurumsal proxy çözümleri kendi şifreleme listelerini dayatarak bağlantıyı bozabilir.
• CDN veya yük dengeleyici uyumsuzluğu: Uç sunucu modern TLS beklerken origin sunucunun eski yapılandırmada kalması ya da sunucu taşıması sırasında CDN proxy durumunun değişmesi bu hatayı üretebilir.
• Eski TLS kütüphanesi: Sunucudaki OpenSSL sürümü TLS 1.3’ü destekleyecek düzeyde değilse, yalnızca bu sürümü kabul eden istemcilerle bağlantı kurulamaz.

Sık yapılan bir karıştırmayı burada ayırmak gerekir. Eksik ara sertifika bu hatayı değil, otorite ve zincir doğrulamasıyla ilgili bir hatayı üretir; o durumda şifreli kanal kurulur ve tarayıcı sertifikayı inceledikten sonra reddeder. Ara sertifika sorunları genellikle ERR_SSL_PROTOCOL_ERROR veya otorite hatası kapsamına girer. Zincir kontrolü yine de faydalıdır, ancak bu hatanın birincil nedeni olarak aranmamalıdır.

Ziyaretçi Tarafında Uygulanabilecek Çözümler

Site sahibi değilseniz veya ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası yalnızca kendi cihazınızda görünüyorsa kaynak yerel yapılandırma olabilir. Aşağıdaki adımlar geri alınabilir kontrollerden oluşur.

1. Aynı adresi farklı bir tarayıcıda ve mümkünse mobil veri gibi farklı bir ağda açmayı deneyin. Hata her yerde tekrarlanıyorsa sorun sunucudadır.
2. Tarayıcı önbelleğini ve SSL durum bilgisini temizleyip sayfayı yeniden yükleyin.
3. Tarayıcı eklentilerini, özellikle VPN, proxy ve reklam engelleyicileri geçici olarak devre dışı bırakın.
4. Antivirüs veya güvenlik paketinizdeki HTTPS tarama özelliğini geçici olarak kapatın, test sonrası geri açın.
5. Cihazın tarih, saat ve saat dilimi ayarlarını kontrol edin; bu hatanın doğrudan nedeni olmasa da hatalı saat sertifika doğrulamasında beklenmedik sonuçlar üretebilir.
6. Tarayıcınızı ve işletim sisteminizi güncelleyin; eski sürümler güncel protokol ve şifre paketlerini desteklemeyebilir.

Bu adımlar sonuç vermezse tarayıcıda güvenlik ayarlarını gevşetmeye veya eski protokolleri elle etkinleştirmeye çalışmayın. Bu tür müdahaleler tüm gezinme oturumunuzu riske atar ve sorunu kalıcı olarak çözmez. Site bir kuruma aitse hatanın tam metnini ve karşılaştığınız tarihi ilgili yöneticiye bildirmek en doğru yaklaşımdır.

Site Sahipleri İçin Sunucu Tarafı Çözümleri

ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası tüm ziyaretçilerde görülüyorsa çözüm sunucu yapılandırmasındadır. Aşağıdaki adımlar protokol desteğinden sertifikaya ve ara katmanlara doğru ilerler.

1. 443 portunda TLS’in etkin olduğunu doğrulayın. Sunucunun ilgili ana bilgisayar adı için HTTPS trafiğini TLS ile karşıladığını teyit edin. Bu kontrol, sorunun şifreleme müzakeresinde mi yoksa daha temel bir yapılandırma eksikliğinde mi olduğunu baştan ayırır.
2. Etkin TLS sürümlerini belirleyin. Güvenli kabul edilen yapılandırma TLS 1.2 ve TLS 1.3 desteğini birlikte sunmak, SSL 3.0 ile TLS 1.0 ve 1.1’i kapatmaktır. Apache’de SSLProtocol, Nginx’te ssl_protocols yönergesi bu kontrolü sağlar.
3. Şifre paketi listesini gözden geçirin. Aşırı kısıtlı bir liste tarayıcıyla ortak nokta bulunmasını engeller. ECDHE tabanlı anahtar değişimini etkin tutun ve sertifikanızın anahtar tipiyle uyumlu paketleri listede bırakın.
4. Sertifikanın kapsamını ve imza algoritmalarını doğrulayın. SAN alanı kullanılan tüm alan adlarını içermeli, sunucu da el sıkışmada güncel imza algoritmalarını sunabilmelidir.
5. TLS’in sonlandığı tüm katmanları kontrol edin. CDN, yük dengeleyici ve ters proxy kullanılan mimarilerde her katmanda hangi sertifikanın sunulduğunu ve hangi protokollerin etkin olduğunu ayrı ayrı doğrulayın.
6. Sunucu yazılımını ve TLS kütüphanesini güncelleyin. Eski bir OpenSSL sürümü TLS 1.3 desteğini engelleyebilir.
7. Değişiklikten sonra dışarıdan test edin. SSL sorgulama aracımıza alan adınızı girerek desteklenen protokolleri, şifre paketlerini ve zincir bütünlüğünü tek raporda görebilir, tahmine dayalı denemeleri ortadan kaldırabilirsiniz.

Paylaşımlı hosting kullanıyorsanız bu ayarlara erişiminiz olmaz. Bu durumda sertifika kurulumunu kontrol paneli üzerinden yenilemek, sonuç alamazsanız hata metnini ve test sonuçlarını belirterek hosting sağlayıcınızın desteğine başvurmak en hızlı yoldur.

TLS Sürümleri ve Şifre Paketleri Arasındaki Uyum

Protokol sürümü ile şifre paketleri arasındaki ilişkiyi anlamak, hangi yapılandırmanın hangi istemci grubunu etkilediğini görmeyi kolaylaştırır. Protokollerin ayrıntılı karşılaştırmasını TLS nedir yazımızda ele aldık.

Tablodaki dağılım temel dengeyi gösterir: güvenliği artırmak için eski protokolleri kapatırken, tek bir sürüme indirgeyerek uyumluluk penceresini fazla daraltmamak gerekir. TLS 1.3 kendi şifre paketi setini kullandığı için, TLS 1.2 desteği bırakıldığında o sürüme uygun paketlerin de listede bulunması gerekir.

Android ve Mobil Cihazlarda Görülen Uyuşmazlıklar

Mobil platformlarda sorun genellikle işletim sistemi sürümü ile sunucunun beklediği şifreleme standardı arasındaki farktan doğar. Eski Android sürümleri TLS 1.3 desteği sunmaz ve bazı modern şifre paketlerini tanımaz. Sunucu yalnızca en yeni standartları kabul ediyorsa böyle bir cihazda bağlantı hiç kurulamaz.

Mobil tarafta izlenebilecek adımlar arasında tarayıcı uygulamasını mağaza üzerinden güncellemek, bekleyen sistem güncellemelerini yüklemek, tarih ve saat ayarını otomatik moda almak, tarayıcı verilerini temizlemek ve varsa VPN uygulamalarını kapatmak yer alır. Kurumsal bir Wi-Fi ağındaysanız ağın HTTPS trafiğini denetleyen bir yapılandırması olup olmadığını da göz önünde bulundurun.

Site sahibi açısından mobil uyumluluk bir ölçüm meselesidir. Analitik verilerinizde önemli bir eski cihaz kitlesi varsa, TLS 1.2 desteğini kapatmadan önce bu kitleyi kaybetme riskini değerlendirmek gerekir. Güvenlik ile erişilebilirlik arasındaki bu dengeyi kurmak hem hata bildirimlerini hem terk edilen ziyaretleri azaltır.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH Hatası Nasıl Önlenir?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH hatası çoğu zaman ihmal edilen bir yapılandırmanın veya süresi dolan bir sertifikanın sonucudur. Düzenli kontrollerle tekrarlanmasını büyük ölçüde engellemek mümkündür.

En temel önlem sertifika yenilemesini otomatikleştirmektir. Otomatik yenileme kullanılan yapılandırmalarda, yenileme sonrası servisin yeniden yüklenip yeni sertifikayı gerçekten sunduğunu doğrulamak da aynı derecede önemlidir. Web sunucusunun, işletim sisteminin ve TLS kütüphanelerinin güncel tutulması, desteklenen protokol ve şifre paketlerinin tarayıcı ekosistemiyle uyumlu kalmasını sağlar.

Yapılandırma değişikliklerini üretim ortamına almadan önce test etmek ikinci önemli adımdır. Şifre paketi listesini elle düzenleyen ekiplerin değişiklikten sonra farklı tarayıcı ve cihazlarla doğrulama yapması, bir uyuşmazlığın tüm ziyaretçileri etkilemesini önler. CDN, yük dengeleyici veya ters proxy kullanılan mimarilerde uç noktanın ve origin sunucunun TLS ayarlarının birbiriyle tutarlı olması ayrıca kontrol edilmelidir.

Son olarak izleme kurmak, sorunu kullanıcılar bildirmeden fark etmenizi sağlar. Sertifika son kullanma tarihini ve HTTPS erişilebilirliğini takip eden bir uptime kontrolü, güvenli bağlantı sorunlarının arama motoru performansını ve kullanıcı güvenini etkileyecek düzeye ulaşmasını engeller. Farklı bir uyarıyla karşılaştıysanız SSL hataları rehberimize göz atabilirsiniz.