NET::ERR_SSL_OBSOLETE_VERSION：网站还在用 TLS 1.0/1.1

NET::ERR_SSL_OBSOLETE_VERSION 的意思是：网站只会说 TLS 1.0 或 TLS 1.1，而浏览器已经淘汰了这两个版本。 Chrome 在逐步下线旧版本期间用的是这个代码；如今同样的服务器通常会触发 ERR_SSL_VERSION_OR_CIPHER_MISMATCH。不管哪种，服务器都需要支持 TLS 1.2 或更新版本。

先判断是网站的问题还是你电脑的问题

是网站的问题。用 SSL 检测 看服务器支持哪些协议版本：

curl ssl.sh/example.com

TLS 1.2 和 1.3 都不支持，就得网站方升级服务器。访客这边没有安全的修法：就算能在浏览器里重新开启旧协议，也会削弱你所有的连接。联系网站方；如果是自己内网里的老设备，升级它的固件。

原因

对外入口只支持 TLS 1.0/1.1，原因通常是服务器软件太老、TLS 1.2 被关掉、嵌入式设备或前置代理太老。

1. 服务器软件太老

没打补丁的 Windows Server 2008（非 R2）、老版本 Java 应用服务器、OpenSSL 0.9.8 都提供不了 TLS 1.2。直接测：

openssl s_client -connect example.com:443 -servername example.com -tls1_2 </dev/null 2>&1 | grep -E "Protocol|alert"

2. TLS 1.2 被手动关掉了

十年前的“安全加固指南”有时会留下奇怪的配置，或者 Windows 注册表改错把 TLS 1.2 关了。检查 Nginx 的 ssl_protocols、Apache 的 SSLProtocol，或 Windows 的 SCHANNEL 注册表项。

3. 嵌入式设备

打印机、UPS 管理卡、KVM、老 NAS、老款路由器和摄像头的 TLS 实现常常停留在 TLS 1.0。固件更新有时会加上 TLS 1.2；没有的话就把设备隔离在内网，用 HTTP 管理口在可信网络里访问。

4. 前面的代理或负载均衡太老

源站支持 TLS 1.2，但前面的老负载均衡或反向代理用的是过时的设置。要测对外的那个入口，而不是源站。国内一些政务、学校的老系统前面挂着多年未升级的 WAF 或负载均衡设备，经常就是这种情况。

在各浏览器/系统上的样子

当前版本的 Chrome 和 Edge 已改报 ERR_SSL_VERSION_OR_CIPHER_MISMATCH，Firefox 报 SSL_ERROR_UNSUPPORTED_VERSION。

站长怎么修

修法只有一个：在对外的入口开启 TLS 1.2 和 TLS 1.3。

1. 开启新协议。 Nginx：

ssl_protocols TLSv1.2 TLSv1.3;

Apache：

SSLProtocol -all +TLSv1.2 +TLSv1.3

宝塔面板在站点 SSL 设置里勾选 TLSv1.2 和 TLSv1.3；阿里云/腾讯云的 CDN、负载均衡在 HTTPS 配置里选择最低 TLS 1.2 的安全策略。

2. Windows Server 按微软文档在 SCHANNEL 的 Protocols 注册表项下，为客户端和服务器都启用 TLS 1.2，然后重启。已停止支持的 Windows 版本要升级。

3. 用 TLS 配置生成器 生成经过测试的配置，加密套件也会一起配好。

4. 验证。 curl ssl.sh/example.com 应当显示支持 TLS 1.2 和 1.3、禁用 TLS 1.0/1.1。背景知识见 TLS 1.3。