Windows版Chrome 117出现ERR_ECH_FALLBACK_CERTIFICATE_INVALID错误求助

问题详情 #

约一周前，子域名站点app.xxx.com运行正常，期间无重大更新，但目前使用Windows系统Chrome 117.0.5938.132访问时弹出错误：

This site can't be reached
The website at XXX might be temporarily down or it may have been moved permanently to a new web address.
ERR_ECH_FALLBACK_CERTIFICATE_INVALID

• 顶级域名可正常访问，证书由LetsEncrypt签发
• MacOS、Linux最新版Chrome及Firefox、Safari访问均正常
• 重新签发LetsEncrypt证书后问题依旧
• 站点偶尔可正常解析1-2分钟，之后又无法访问；同服务器Docker部署的staging.xxx.com运行正常，二者代码差异极小

已定位根因 #

确认问题与**Encrypted Client Hello（ECH，又称Secure SNI）**相关：

• Linux版Chrome开启chrome://flags/#encrypted-client-hello并重启后，出现相同错误
• Windows版Chrome关闭该选项后，站点可正常访问

解决方案建议 #

1. 临时缓解方案：指导受影响用户在Chrome中关闭ECH功能：
   • 打开chrome://flags/#encrypted-client-hello
   • 将选项设置为Disabled后重启浏览器
2. 长期修复方案：
   • 若站点使用CDN/服务商提供的ECH配置，需联系服务商检查ECH fallback证书的有效性：
     • 确认fallback证书是否正确绑定对应子域名
     • 检查fallback证书的签发、有效期及配置是否符合ECH规范
   • 验证ECH配置是否与当前站点的LetsEncrypt证书兼容，确保ECH参数中的fallback证书配置正确

内容的提问来源于stack exchange，提问作者William Tonkin-Howe