ERR_SSL_PROTOCOL_ERROR ו-ERR_SSL_VERSION_OR_CIPHER_MISMATCH: למה זה קורה ואיך מתקנים

מאת עשהאל דרייר
עודכן 07.11.2026

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: ERR_SSL_PROTOCOL_ERROR ו-ERR_SSL_VERSION_OR_CIPHER_MISMATCH אומרות שהדפדפן והשרת לא הצליחו להשלים את לחיצת היד של HTTPS. הסיבות הנפוצות: לקוח ישן שמבקש TLS 1.0 או 1.1, הצפנה שהשרת לא מסכים לה, או תעודה שעוד לא הופעלה ב-Cloudflare. ב-7.11.2026 בדקנו את האתר שלנו: TLS 1.0 ו-1.1 נדחו, ו-TLS 1.2 ו-1.3 עברו.

⏱ זמן אבחון: 5–20 דקות · רמת קושי: בינוני · נבדק לאחרונה מול האתר שלנו: 07.11.2026

בקצרה: מה השרת שלנו ענה לכל סוג לקוח (נמדד ב-7.11.2026, openssl ו-curl)

הלקוח ביקש	התוצאה
TLS 1.0	נדחה: התראת protocol version (alert 70)
TLS 1.1	נדחה: אותה התראה (alert 70)
TLS 1.2	עבר, עם הצפנה ECDHE-ECDSA-CHACHA20-POLY1305
TLS 1.3	עבר, עם TLS_AES_256_GCM_SHA384
TLS 1.2 עם הצפנות RSA בלבד או בלי Forward Secrecy	נדחה: handshake failure (alert 40), זה המצב שהדפדפן מציג כ-VERSION_OR_CIPHER_MISMATCH
לקוח שלא שולח SNI (שם האתר בלחיצת היד)	נדחה: handshake failure (alert 40)
curl ב-Windows מוגבל ל-TLS 1.1	curl: (35) SEC_E_ILLEGAL_MESSAGE, כלומר התקבלה התראה קטלנית

ההגדרות שלנו: TLS מינימלי 1.2 ב-Cloudflare, ו-HSTS מופעל לחצי שנה. באתר שלכם התוצאות תלויות בהגדרות שלכם.

מה ההבדל בין ERR_SSL_PROTOCOL_ERROR ל-ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

שתיהן שגיאות של לחיצת היד, השלב שבו הדפדפן והשרת מסכימים על גרסת TLS ועל שיטת הצפנה, לפני שעובר אפילו בייט אחד של העמוד. ברשימת שגיאות הרשת של Chromium, SSL_PROTOCOL_ERROR היא "שגיאת פרוטוקול SSL" כללית, ו-SSL_VERSION_OR_CIPHER_MISMATCH אומרת במפורש שללקוח ולשרת אין גרסה או הצפנה משותפת (net_error_list.h).

TLS (Transport Layer Security) הוא הפרוטוקול שמצפין את HTTPS. גרסאות 1.0 ו-1.1 הוצאו משימוש רשמית ב-RFC 8996 של ה-IETF, ודפדפנים עדכניים כבר לא משתמשים בהן. לכן השגיאה פוגעת כמעט תמיד בלקוחות ישנים: אנדרואיד ישן, Windows 7 בלי עדכונים, סקריפט PHP ישן או מכשיר תשלום.

השגיאה	מה קרה	הסיבה הנפוצה
ERR_SSL_VERSION_OR_CIPHER_MISMATCH	אין גרסת TLS או הצפנה משותפת	לקוח ישן, או תעודה שלא מכסה את השם ב-Cloudflare
ERR_SSL_PROTOCOL_ERROR	התשובה של השרת לא הייתה TLS תקין	פורט 443 שמגיש HTTP רגיל, פרוקסי או אנטי-וירוס באמצע, הגדרת שרת שבורה
NET::ERR_CERT_DATE_INVALID	לחיצת היד עברה, אבל התעודה נראית פגת תוקף	שעון מחשב שגוי או תעודה שבאמת פגה

בעיות של התעודה עצמה, כמו שרשרת חסרה, חידוש שנכשל או Wildcard, הן נושא אחר. כל אלה מוסברות במדריך לתקלות תעודת SSL בקלאודוויז.

איך בודקים בעצמכם איזו גרסת TLS האתר מקבל?

עם openssl, שמותקן ב-macOS, בלינוקס וב-Git for Windows. מריצים את הפקודה פעם לכל גרסה ומסתכלים אם מופיעה שורת Cipher או שורת alert.

openssl s_client -connect example.co.il:443 -servername example.co.il -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' </dev/null
openssl s_client -connect example.co.il:443 -servername example.co.il -tls1_2 </dev/null
openssl s_client -connect example.co.il:443 -servername example.co.il -tls1_3 </dev/null

התוספת DEFAULT@SECLEVEL=0 נחוצה כי OpenSSL 3 בעצמו מסרב לשלוח TLS 1.1. בלעדיה תקבלו כישלון מצד המחשב שלכם ותחשבו בטעות שהשרת דחה. זו הטעות שכמעט עשינו בבדיקה הראשונה.

איך קוראים את התוצאה: "Cipher is (NONE)" עם alert 70 אומר שהשרת דחה את הגרסה. alert 40 אומר שהשרת דחה את ההצפנה או שחסר שם (SNI). שורה כמו "New, TLSv1.2, Cipher is …" אומרת שהחיבור הצליח.

מה עושים כשרק לקוח ישן מקבל את השגיאה?

בדרך כלל מעדכנים את הלקוח, לא מורידים את האבטחה בשרת. הדפדפנים הנפוצים תומכים ב-TLS 1.2 ו-1.3 כבר שנים. גם קלאודוויז מציינת ש-PCI ממליץ על TLS 1.2 ומעלה, ושספקי תשלום כמו PayPal ו-Stripe כבר מסרבים ל-TLS 1.0.

גולש עם מכשיר ישן: הציעו דפדפן עדכני. קלאודוויז מזהירה שכיבוי TLS 1.0 ו-1.1 עלול לחסום גולשים עם אנדרואיד 4.4 ומטה.
שרת אחר שמתחבר לאתר (Webhook, API, סליקה): עדכנו את גרסת PHP, OpenSSL או cURL בצד שלו. ספרייה ישנה היא הסיבה הנפוצה.
כלי ניטור או סורק ישן: בדקו בהגדרות שלו אם אפשר לבחור TLS 1.2.

איפה משנים את גרסת ה-TLS בשרת של קלאודוויז?

בהגדרות השרת, בבלוק של Nginx. לפי המאמר הרשמי, זו הגדרה ברמת השרת, והיא חלה על כל האפליקציות שעליו.

בפאנל הניהול פתחו Servers ובחרו את השרת.
תחת Server Management בחרו Settings & Packages ועברו ללשונית Advanced.
גללו לבלוק Nginx, ולחצו edit ליד TLS Versions.
בחרו את הגרסאות ולחצו Save Changes. את TLS 1.3 אי אפשר לכבות.

שתי הערות מהמאמר: שכפול שרת לא מעתיק את הבחירה, ובשרת החדש צריך להגדיר אותה שוב. ואם האתר מאחורי Cloudflare במצב Proxy, הגולשים מתחברים ל-Cloudflare ולא לשרת. אז ההגדרה שהם פוגשים היא זו של Cloudflare.

למה השגיאה מופיעה דווקא באתר שמאחורי Cloudflare?

כי Cloudflare מנהל את לחיצת היד מול הגולש, עם תעודה והגדרות משלו. שלוש סיבות חוזרות על עצמן.

1. TLS מינימלי גבוה: בהגדרה Minimum TLS Version, לקוחות מתחת לגרסה שבחרתם נדחים ולחיצת היד לא מסתיימת (התיעוד של Cloudflare). אצלנו זה 1.2, ולכן TLS 1.1 קיבל alert 70.

2. התעודה עוד לא פעילה: לפי מדריך התקלות של Cloudflare, תעודת Universal SSL יכולה לקחת בין 15 דקות ל-24 שעות להיות פעילה אחרי חיבור דומיין. בזמן הזה גולשים יקבלו VERSION_OR_CIPHER_MISMATCH. בודקים את הסטטוס ב-Edge Certificates.

3. תת-דומיין בשתי רמות: Universal SSL מכסה את הדומיין הראשי ורמה אחת של תת-דומיין. כתובת כמו test.dev.example.co.il לא מכוסה, ותחזיר את השגיאה. הפתרונות לפי Cloudflare: Total TLS, תעודת Advanced, תעודה מותאמת, או שם ברמה אחת.

מצב ההצפנה בין Cloudflare לשרת (Flexible, Full או Full (strict)) משפיע בעיקר על הקטע שבין Cloudflare לשרת, ופחות על לחיצת היד של הגולש. Cloudflare ממליצה על Full או Full (strict). אם בשרת יש תעודת Let's Encrypt תקינה, Full (strict) הוא הבחירה הנכונה, וההסבר נמצא במדריך לחיבור דומיין דרך Cloudflare. שגיאות 52x של Cloudflare, כמו 525 ו-526, שייכות למדריך לשגיאות 5xx של Cloudflare.

בלאק פריידי80% הנחה

80% הנחה על חודשיים של שרת מנוהל

הקוד BFCM802 מוריד 80% מהחשבון בחודשיים הראשונים (עד 200$ הנחה בחודש), כולל העברת אתרים חינם בלי הגבלה. ללקוחות חדשים בלבד, ורק עד סוף המבצע.

המבצע מסתיים ב-4 בדצמבר 2026, ב-23:59 שעון ישראל.

נגמר בעוד—ימים—שעות—דקות—שניות

הקוד:

לתפוס את ה-80% עכשיו

מתחילים בניסיון חינם, בלי כרטיס אשראי. את הקוד מזינים בקופה ובודקים שהוא מופיע.

אחרי בלאק פריידי: 30% הנחה ל-3 חודשים עם הקוד ASAEL. בשרת גדול (מעל כ-444$ בחודש) ASAEL משתלם יותר כבר עכשיו. למחשבון BFCM802 מול ASAEL

מה בודקים כשאין Cloudflare והשגיאה מופיעה לכולם?

כשכל הגולשים מקבלים את השגיאה, הבעיה בשרת או בתעודה, לא בלקוח. בודקים לפי הסדר:

האם הותקנה תעודה לדומיין הזה בכלל? אחרי חיבור דומיין חדש צריך להתקין SSL לאפליקציה. ראו איך מתקינים תעודת SSL בקלאודוויז.
האם ה-DNS מצביע לשרת הנכון? רשומת A ישנה שולחת את הגולשים לשרת שלא מכיר את הדומיין.
האם הכתובת כוללת פורט לא סטנדרטי, כמו https://example.co.il:8080? פורט שמגיש HTTP רגיל יחזיר ERR_SSL_PROTOCOL_ERROR.
האם מישהו שינה לאחרונה את TLS Versions בהגדרות השרת?

טעויות נפוצות

מחזירים את TLS 1.0 "כדי שיעבוד": זה פותח את כל האתר לגרסה שהוצאה משימוש בגלל חולשות. עדיף לעדכן את הלקוח הבודד.

בודקים עם כלי שבעצמו חוסם גרסאות ישנות: curl ב-Windows ו-OpenSSL 3 עלולים לסרב לשלוח TLS 1.1 מהצד שלהם. השתמשו ב-SECLEVEL=0, אחרת הבדיקה לא אומרת כלום על השרת.

מתעלמים מאנטי-וירוס ומ-VPN: תוכנות שסורקות HTTPS נכנסות באמצע החיבור. אם השגיאה מופיעה רק במחשב אחד, כבו אותן זמנית ובדקו שוב.

שעון מחשב שגוי: הוא גורם בדרך כלל לשגיאת תאריך של התעודה, ולא לשגיאת פרוטוקול. בכל זאת שווה לבדוק אותו, כי זה תיקון של 10 שניות.

שאלות נפוצות

מה זה ERR_SSL_PROTOCOL_ERROR?

זו שגיאה של כרום שאומרת שלחיצת היד של HTTPS נכשלה, כי התשובה של השרת לא הייתה TLS תקין. הסיבות הנפוצות הן פורט שמגיש HTTP רגיל, תוכנה שנכנסת באמצע החיבור, או הגדרות TLS שהלקוח לא תומך בהן.

איך מתקנים ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

קודם בודקים אם השגיאה רק אצלכם או אצל כולם. אצלכם: מעדכנים דפדפן ומערכת הפעלה. אצל כולם באתר שמאחורי Cloudflare: בודקים שתעודת Edge פעילה ושהשם לא תת-דומיין בשתי רמות. בלי Cloudflare: בודקים שהותקנה תעודה לדומיין.

האם כדאי לכבות TLS 1.0 ו-1.1?

כן, ברוב האתרים. הן הוצאו משימוש ב-RFC 8996, ו-PCI ממליץ על TLS 1.2 ומעלה. המחיר הוא חסימה של מכשירים ישנים מאוד, כמו אנדרואיד 4.4 ומטה. אצלנו המינימום הוא 1.2 מאז 7.11.2026.

למה האתר עובד בכרום ולא באפליקציה או בסקריפט?

כי הסקריפט משתמש בספריית TLS ישנה, או שאינו שולח SNI. בבדיקה שלנו לקוח בלי SNI נדחה גם כשהגרסה הייתה תקינה. עדכנו את PHP, OpenSSL או cURL בצד של הלקוח.

כמה זמן לוקח לתעודה של Cloudflare להיות פעילה?

לפי Cloudflare, בין 15 דקות ל-24 שעות אחרי חיבור הדומיין. בזמן הזה חלק מהגולשים יראו שגיאת SSL. בודקים את הסטטוס במסך Edge Certificates.

איפה משנים גרסת TLS בקלאודוויז?

בפאנל: Servers, בחירת השרת, Settings & Packages, לשונית Advanced, בלוק Nginx, ואז TLS Versions. ההגדרה חלה על כל האפליקציות בשרת, ואת TLS 1.3 אי אפשר לכבות.

מקורות

net_error_list.h (SSL_PROTOCOL_ERROR, SSL_VERSION_OR_CIPHER_MISMATCH) – Chromium
RFC 8996: Deprecating TLS 1.0 and TLS 1.1 – IETF
How to Update the TLS Version – Cloudways KB
Minimum TLS Version – Cloudflare Docs
ERR_SSL_VERSION_OR_CIPHER_MISMATCH – Cloudflare Docs
Encryption modes – Cloudflare Docs

המדידה: openssl s_client (OpenSSL 3.5) ו-curl ממחשב Windows בישראל, מול cw-servers.co.il, 7.11.2026. בדקנו TLS 1.0 עד 1.3, הצפנות RSA בלבד, הצפנה בלי Forward Secrecy וחיבור בלי SNI. האתר מאחורי Cloudflare, ולכן התוצאות מתארות את ההגדרות של Cloudflare אצלנו.

מקור רשמי: How to Update the TLS Version (Cloudways Knowledge Base). העמוד נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים

עשהאל דרייר

אהלן, אני עשהאל דרייר, מנכ"ל חברת קידום אתרים המשווקת מאות אתרים המאוחסנים על עשרות שרתים בפלטפורמת Cloudways.
כל הידע שתמצאו כאן מבוסס על ניסיון אישי ומעשי שלי ושל הצוותים שלי ישירות מהשטח – מהמדריכים ועד ההמלצות. הכל כדי לעזור לכם לנצל עד הסוף את השירותים של קלאודוויז.

עוד עליי ←

צריכים עזרה? יש שאלה על השרת או על המדריך? כתבו לנו ונחזור אליכם.