# NET::ERR_SSL_OBSOLETE_VERSION：网站还在用 TLS 1.0/1.1

> NET::ERR_SSL_OBSOLETE_VERSION 表示服务器只支持 TLS 1.0 或 1.1。浏览器已全部淘汰这两个版本，服务器必须开启 TLS 1.2/1.3。

Source: https://ssl.sh/zh/errors/net-err-ssl-obsolete-version/
Last updated: 2026-11-10

**NET::ERR_SSL_OBSOLETE_VERSION 的意思是：网站只会说 TLS 1.0 或 TLS 1.1，而浏览器已经淘汰了这两个版本。** Chrome 在逐步下线旧版本期间用的是这个代码；如今同样的服务器通常会触发 [ERR_SSL_VERSION_OR_CIPHER_MISMATCH](https://ssl.sh/zh/errors/err-ssl-version-or-cipher-mismatch/)。不管哪种，服务器都需要支持 TLS 1.2 或更新版本。

## 先判断是网站的问题还是你电脑的问题

是网站的问题。用 [SSL 检测](https://ssl.sh/zh/tools/ssl-checker/) 看服务器支持哪些协议版本：

```bash
curl ssl.sh/example.com
```

TLS 1.2 和 1.3 都不支持，就得网站方升级服务器。访客这边没有安全的修法：就算能在浏览器里重新开启旧协议，也会削弱你所有的连接。联系网站方；如果是自己内网里的老设备，升级它的固件。

## 原因

对外入口只支持 TLS 1.0/1.1，原因通常是服务器软件太老、TLS 1.2 被关掉、嵌入式设备或前置代理太老。

### 1. 服务器软件太老

没打补丁的 Windows Server 2008（非 R2）、老版本 Java 应用服务器、OpenSSL 0.9.8 都提供不了 TLS 1.2。直接测：

```bash
openssl s_client -connect example.com:443 -servername example.com -tls1_2 </dev/null 2>&1 | grep -E "Protocol|alert"
```

### 2. TLS 1.2 被手动关掉了

十年前的“安全加固指南”有时会留下奇怪的配置，或者 Windows 注册表改错把 TLS 1.2 关了。检查 Nginx 的 `ssl_protocols`、Apache 的 `SSLProtocol`，或 Windows 的 SCHANNEL 注册表项。

### 3. 嵌入式设备

打印机、UPS 管理卡、KVM、老 NAS、老款路由器和摄像头的 TLS 实现常常停留在 TLS 1.0。固件更新有时会加上 TLS 1.2；没有的话就把设备隔离在内网，用 HTTP 管理口在可信网络里访问。

### 4. 前面的代理或负载均衡太老

源站支持 TLS 1.2，但前面的老负载均衡或反向代理用的是过时的设置。要测对外的那个入口，而不是源站。国内一些政务、学校的老系统前面挂着多年未升级的 WAF 或负载均衡设备，经常就是这种情况。

## 在各浏览器/系统上的样子

当前版本的 Chrome 和 Edge 已改报 `ERR_SSL_VERSION_OR_CIPHER_MISMATCH`，Firefox 报 `SSL_ERROR_UNSUPPORTED_VERSION`。

| 浏览器 | 显示内容 |
|---|---|
| Chrome / Edge / 360 极速模式（当前版本） | “此网站无法提供安全连接”，代码 `ERR_SSL_VERSION_OR_CIPHER_MISMATCH` |
| Chrome（2020–2021 年） | 提示连接并非完全安全，代码 `NET::ERR_SSL_OBSOLETE_VERSION` |
| Firefox | “建立安全连接失败”，代码 [SSL_ERROR_UNSUPPORTED_VERSION](https://ssl.sh/zh/errors/ssl-error-unsupported-version/) |
| Safari | [Safari 无法建立安全连接](https://ssl.sh/zh/errors/safari-cant-establish-secure-connection/) |

## 站长怎么修

修法只有一个：在对外的入口开启 TLS 1.2 和 TLS 1.3。

**1. 开启新协议。** Nginx：

```nginx
ssl_protocols TLSv1.2 TLSv1.3;
```

Apache：

```apache
SSLProtocol -all +TLSv1.2 +TLSv1.3
```

宝塔面板在站点 SSL 设置里勾选 TLSv1.2 和 TLSv1.3；阿里云/腾讯云的 CDN、负载均衡在 HTTPS 配置里选择最低 TLS 1.2 的安全策略。

**2. Windows Server** 按微软文档在 SCHANNEL 的 `Protocols` 注册表项下，为客户端和服务器都启用 TLS 1.2，然后重启。已停止支持的 Windows 版本要升级。

**3. 用 [TLS 配置生成器](https://ssl.sh/zh/tools/tls-config-generator/)** 生成经过测试的配置，加密套件也会一起配好。

**4. 验证。** `curl ssl.sh/example.com` 应当显示支持 TLS 1.2 和 1.3、禁用 TLS 1.0/1.1。背景知识见 [TLS 1.3](https://ssl.sh/zh/learn/tls-1-3/)。