Отозвали SSL-сертификат сайта: что произошло с сертификатами в России в 2026 году и что делать бизнесу

Директор торговой компании (60 сотрудников, интернет-магазин и B2B-портал для дилеров): «В понедельник утром звонит менеджер: у дилеров не открывается портал, в браузере красный экран „Подключение не защищено“. Хостер отвечает, что у них всё работает. Сисадмин в отпуске. Я читаю новости и вижу: „GlobalSign отозвал сертификаты у 20 тысяч сайтов“. Это про нас? Что мне сейчас делать?»

Такие звонки мы получаем с июня — как правило, руководитель звонит руководителю, потому что «что-то с сайтом» превращается в вопрос уровня бизнеса. А параллельно в нашу HelpDesk-систему за последние два месяца пришло больше ста заявок на одну и ту же тему: «не открывается сайт банка», «подключение не защищено», «не заходит в личный кабинет». Это не единичный сбой, а новая постоянная нагрузка, и её нужно закрывать системно.

Эта статья — для тех, кто задаёт себе такой же вопрос. Мы не будем пересказывать новости: коротко объясним, что именно сломалось в мировой системе доверия к сайтам, кого это касается на самом деле (спойлер: не всех, но больше, чем кажется), что ещё ломается кроме сайта, какие есть стратегии и что сделать на этой неделе.

Если у вас нет времени читать всё — переходите сразу к разделу «План на неделю».

Коротко: что случилось с SSL-сертификатами

SSL/TLS-сертификат — это «паспорт» сайта. Его выдаёт удостоверяющий центр (УЦ), которому доверяют браузеры и операционные системы. Пока сертификат действителен и цепочка доверия строится, браузер открывает защищённое соединение и показывает сведения о нём рядом с адресом. Если сертификат отозван или истёк, браузер показывает предупреждение, а в некоторых случаях блокирует доступ без возможности «всё равно перейти».

До 2026 года российские компании жили в двух мирах. Бесплатный Let’s Encrypt покрывал около трёх четвертей сайтов в зоне .ru. Коммерческие сертификаты (для банков, интернет-магазинов, корпоративных порталов) с 2022 года почти полностью выдавал GlobalSign — после ухода DigiCert, Sectigo, Thawte и GeoTrust он занимал порядка 90% коммерческого сегмента в России.

Весной и летом 2026 года этот порядок разрушился за три месяца:

Итог на начало сентября 2026: из 35 крупных банков 18 работают на сертификатах НУЦ, 3 — на TrustAsia, 14 пока сохраняют международные сертификаты (по данным SDI360 на 19 августа). Новые санкционные решения могут привести УЦ к повторной оценке клиентов, но единого автоматического механизма CA/Browser Forum, который одновременно запускает отзывы у всех центров, нет.

Что важно отделить от новостных формулировок. Дата 4 мая относится к технической редакции EV Guidelines, а не к новому универсальному правилу о санкциях. Проверка по перечням запрещённых лиц была предусмотрена в EV Guidelines как минимум с версии 1.7.0 2019 года и относится к юрисдикции самого УЦ. В действующих TLS Baseline Requirements аналогичного общего требования проверять владельцев массовых DV-сертификатов нет. Поэтому решение GlobalSign или другого УЦ следует объяснять применимым законодательством и собственной политикой центра, а не автоматическим предписанием CA/Browser Forum.

Закон № 210-ФЗ вступает в силу 1 марта 2027 года. Он закрепляет бесплатные категории заявителей и разрешает выдавать сертификаты другим заявителям за плату, но сам не устанавливает для них безусловный тариф. Let’s Encrypt, в свою очередь, не «ушёл из России»: в разъяснении к соглашению v1.8 УЦ говорит о соблюдении применимого права, а не о запрете по доменной зоне или гражданству. Доступность выпуска для конкретной организации зависит от её статуса, владения и контроля.

Кого это касается на самом деле

Минцифры говорит, что доля GlobalSign в Рунете «не превышает 5%». Аналитики IPinfo насчитали 13,4% среди .ru-доменов. Эксперт по кибербезопасности Денис Батранков оценивает зону риска в «до 60% сайтов». Все три цифры по-своему верны — они считают разное. Для вашей компании важно другое: к какой из пяти групп вы относитесь.

Группа 1. Компании под прямыми ограничениями или контролем ограниченного лица. Для них риск отказа или отзыва выше: конкретный международный УЦ оценивает применимое право, статус заявителя, владение и контроль. Само по себе госучастие не равнозначно санкционному статусу. НУЦ Минцифры снимает зависимость от решения зарубежного УЦ, но требует заранее решить вопрос доверия на устройствах аудитории (см. стратегии ниже).

Группа 2. Дочерние структуры и компании, чей домен оформлен на другое юрлицо. Здесь нужно проверить заявителя, администратора домена, структуру владения и контроля: именно эти связи могут иметь значение для применимого права и политики УЦ. Само по себе обслуживание у одного подрядчика, размещение на общем IP или присутствие другой компании холдинга в санкционном списке ещё не доказывает, что сертификат будет отозван.

Группа 3. Обычный частный бизнес на коммерческом сертификате GlobalSign. Универсального основания для отзыва нет, однако при выпуске и продлении GlobalSign применяет собственную санкционную политику и законодательство соответствующей юрисдикции. Поэтому заранее проверьте заявителя и владельцев, а также подготовьте резервный УЦ вместо расчёта на автоматическое продление.

Группа 4. Обычный частный бизнес на Let’s Encrypt. Пока всё работает. Риски другие: с 15 марта 2026 года максимальный срок сертификатов сокращён до 200 дней, с 2027-го — до 100, с 2029-го — до 47. Let’s Encrypt с июня 2025 года не присылает письма об истечении. Если автопродление настроено «кем-то когда-то» и никто его не проверяет, вы узнаете о проблеме от клиентов.

Группа 5. Компании, у которых «нет сайта», но есть ИТ. Почтовый сервер, VPN для удалёнки, шлюз удалённых рабочих столов, веб-публикация 1С, видеонаблюдение, IP-телефония — везде есть сертификаты. Об этой группе ниже отдельно.

Как понять, в какой группе вы: откройте свой сайт в Chrome, нажмите на значок сведений о сайте слева от адреса → сведения о защищённом соединении → сертификат и посмотрите поле «Кем выдан». GlobalSign — группа 3 (или 1–2, если есть санкционная экспозиция). Let’s Encrypt, ZeroSSL, Google Trust Services — группа 4. Russian Trusted Sub CA — вы уже на НУЦ.

Что ломается кроме сайта

Большинство руководителей думают о сертификатах только в контексте «открывается ли сайт». Реальная карта шире, и именно поэтому проблему нельзя закрыть звонком в хостинг.

Почта. У почтового сервера свой сертификат. При его отзыве или истечении Outlook на телефонах сотрудников показывает «Небезопасное подключение». Доставка между серверами может быть заблокирована, если получатель требует проверенный TLS — например, через MTA-STS в режиме enforce или DANE; при обычном opportunistic TLS поведение зависит от настроек сторон. Внешне это выглядит как «почта глючит».

Удалённый доступ. VPN-шлюз и шлюз удалённых рабочих столов (RD Gateway) проверяют сертификаты строже, чем браузер. Отзыв сертификата на шлюзе — вся удалёнка лежит, бухгалтерия не может зайти в 1С.

Мобильные приложения. Приложение может использовать системное хранилище, собственный набор корней или certificate pinning. После перевода сервера на НУЦ оно перестанет подключаться, если новый корень не доверен его хранилищу либо цепочка не совпадает с настроенным pin. Поэтому совместимость проверяют до переключения и при необходимости выпускают обновление.

Интеграции и API. Ваша CRM обменивается данными со службой доставки, платёжным шлюзом, маркетплейсом, 1С. Каждое такое соединение проверяет сертификат. Отзыв сертификата у партнёра ломает интеграцию на вашей стороне — и наоборот.

Обновления оборудования и ПО. Межсетевые экраны, антивирусы и системы резервного копирования получают обновления по HTTPS и проверяют сертификаты серверов вендора.

Подпись программного кода. Code signing — отдельный стандарт и отдельная политика УЦ, а не часть TLS Baseline Requirements. Возможный отзыв сертификата подписи нужно оценивать по правилам конкретного УЦ и платформы; он не означает автоматически, что все ранее подписанные файлы во всех системах одновременно станут «неизвестным издателем».

Вывод: нужен реестр всех точек, где используются сертификаты, а не «сертификат сайта». По опросу компании «Актив», актуальный реестр ведут только 35% ИТ-специалистов. Как составить его за день, с готовым шаблоном таблицы, — в статье «Аудит сертификатов компании за один день».

Что такое сертификат НУЦ Минцифры и почему это не «просто замена»

Национальный удостоверяющий центр Минцифры работает с марта 2022 года. Он бесплатно выдаёт TLS-сертификаты через Госуслуги организациям, ИП и гражданам РФ — на алгоритмах RSA и ГОСТ. На сентябрь 2026 года есть два типа: OV (проверка организации и прав на домен; до 99 доменных имён в одном сертификате; действует 365 дней; срок исполнения — 3 рабочих дня) и DV (проверка только управления доменом через TXT-файл или DNS-запись; один домен; действует 90 дней; срок исполнения — 1 рабочий день). Запрос формируется по инструкции Минцифры в OpenSSL (для OV — с обязательными полями ИНН, ОГРН и адресом организации), заявление подаётся на Госуслугах от имени организации и подписывается электронной подписью — состав подписи уточняйте по актуальной форме. Продлить сертификат нельзя — только выпустить новый. Пошаговый порядок получения — в статье «Как получить TLS-сертификат НУЦ Минцифры через Госуслуги».

Технически это обычный TLS-сертификат: он шифрует соединение и подтверждает сервер для конкретного имени. Но сертификат не защищает от фишингового клона на другом домене — адрес всё равно нужно проверять. Главная особенность НУЦ: корневой сертификат «Russian Trusted Root CA» не входит в публичные списки доверия Chrome, Safari, Edge, Firefox, Windows, macOS, iOS и Android. Включение в такие списки решают корневые программы браузеров и ОС по собственным требованиям, включая аудит и правила CA/Browser Forum.

Что это значит на практике: сайт на сертификате НУЦ «из коробки» открывается только в Яндекс Браузере и в браузере Атом от VK. Во всех остальных пользователь увидит ошибку NET::ERR_CERT_AUTHORITY_INVALID, пока сам не установит корневой сертификат на устройство — по инструкции с Госуслуг.

Таблица «что увидит ваш клиент»:

Отдельный вопрос — безопасность. Установка любого корневого сертификата в систему означает, что вы доверяете его владельцу выпускать сертификаты для любых сайтов, не только для банка, ради которого вы его ставили. Эксперты по безопасности расходятся в оценке этого риска: Минцифры и банки называют установку безопасной; независимые специалисты (в частности, Алексей Лукацкий из Positive Technologies) рекомендуют не ставить корень в основную систему, а использовать отдельный браузер для российских сервисов. Яндекс Браузер, к слову, держит корень НУЦ внутри себя, а не в системе, и дополнительно требует, чтобы каждый сертификат НУЦ был записан в публичные журналы Certificate Transparency — за четыре года публично известных случаев компрометации не зафиксировано. Практический компромисс для компании: ставить корень только на те машины, где он нужен программам (бухгалтерия с банк-клиентом, 1С), а остальным сотрудникам выдать Яндекс Браузер для банков и госсайтов.

Для бизнеса вывод такой: переводя сайт на НУЦ, вы требуете от части клиентов и сотрудников установить сертификат или использовать совместимый браузер. Для B2B-портала с сотней дилеров это можно организовать. Для интернет-магазина с трафиком из Google и посетителями на iPhone это создаёт риск потери части аудитории.

Три стратегии для компании

Стратегия 1. Остаться на международном УЦ, но перестать зависеть от одного. Подходит группам 3 и 4 — частному бизнесу без санкционной экспозиции. Переходите с GlobalSign на УЦ с автоматической выдачей по протоколу ACME: Let’s Encrypt, ZeroSSL или SSL.com. У SSL.com доступен бесплатный DV-сертификат на 90 дней для одного FQDN; перед выпуском сверяйте актуальные условия продукта. Настройте автопродление и мониторинг — с учётом того, что сроки жизни сертификатов сокращаются, ручное продление перестаёт быть вариантом. Держите наготове второй УЦ и проверенный сценарий переключения за час.

Чего не делать: строить схемы «получать Let’s Encrypt через зарубежные прокси» для подсанкционных структур — это регуляторный риск и для вас, и для сертификата.

Стратегия 2. Перейти на НУЦ Минцифры. Подходит группе 1, а также B2B-компаниям, чья аудитория — юрлица в России, которым можно централизованно раскатать корневой сертификат (как это сделать через групповые политики). Обязательные условия: подтверждённые права на домен (для OV) или контроль над ним (для DV), электронная подпись для заявления, план коммуникации с клиентами, проверка мобильных приложений и интеграций до переключения. С 1 марта 2027 года для заявителей вне бесплатных категорий выдача может стать платной: закон разрешает взимать плату, но сам не вводит безусловный тариф.

Стратегия 3. Гибрид. Для большинства компаний с внешней аудиторией — самый разумный путь. Публичный сайт остаётся на международном УЦ с автопродлением. Личный кабинет, B2B-портал или внутренние сервисы, где аудитория контролируема, — на НУЦ или на собственном корпоративном центре сертификации. Сертификат НУЦ на основной домен получен заранее и лежит «в ящике» как резерв: если международный отзовут, переключение займёт час, а не три дня ожидания выпуска.

Один hostname технически может иметь несколько сертификатов, но в рамках одного TLS-соединения сервер выбирает и отдаёт одну цепочку. Надёжного стандартного признака браузера до выбора сертификата нет, поэтому схема «Chrome получает международный, Яндекс Браузер — российский» нестабильна. Практичный гибрид строится на разделении доменов и поддоменов. Как выбрать между тремя стратегиями по данным вашей Метрики и структуре владения — в статье «Нужен ли вашей компании сертификат Минцифры? Матрица решения».

План на неделю

Это минимальный набор действий для компании 20–200 человек. Большую часть ваш ИТ-специалист или подрядчик сделает за день; остальное — решения руководителя.

День 1. Узнать, где вы. Проверьте издателя сертификата на всех публичных адресах: сайт, поддомены, почта, VPN, порталы. Быстрее всего — через журналы Certificate Transparency (crt.sh, precert.ru): введите домен и получите список всех выпущенных сертификатов, включая забытые поддомены. Зафиксируйте издателя, дату истечения, способ продления и ответственного.

День 1. Оценить санкционную экспозицию. Кто является заявителем и администратором домена? Есть ли среди владельцев или контролирующих лиц те, к кому применимы ограничения юрисдикции УЦ? Зафиксируйте структуру и проверьте её по политике конкретного центра. Соседство в холдинге или общий подрядчик сами по себе не заменяют такую оценку.

День 2. Настроить мониторинг. Обычная проверка доступности не ловит отзыв сертификата — сайт продолжает отвечать. Нужна проверка TLS: срок, цепочка, статус отзыва. Бесплатных инструментов достаточно (Uptime Kuma, Zabbix, скрипт на openssl); главное — чтобы уведомление пришло вам, а не клиенту.

День 3. Подготовить резерв. Если вы на GlobalSign — заведите аккаунт и проверьте выпуск в альтернативном УЦ. Если есть санкционная экспозиция — подайте заявку на OV-сертификат НУЦ через Госуслуги, даже если не планируете его включать. Это бесплатно и занимает три рабочих дня, которых у вас не будет в момент отзыва.

День 3. Проверить автопродление. Если сайт на Let’s Encrypt, попросите ответственного показать, где настроено продление, когда оно срабатывало последний раз и что произойдёт, если оно упадёт. Ответ «хостинг сам продлевает» примите только с подтверждением из панели хостинга.

День 4. Пройтись по «не-сайту». Почта, VPN, RDG, 1С-публикация, интеграции, мобильное приложение (если есть). Для каждого — издатель, срок, что случится при отзыве, есть ли pinning.

День 5. Решить стратегию и написать памятку. Выберите одну из трёх стратегий и зафиксируйте письменно. Подготовьте для сотрудников и клиентов короткую памятку «если сайт не открывается»: три безопасных действия и чего не делать (не ставить сертификаты «с форумов», не жать «всё равно перейти» на сайтах банков). Готовая пошаговая инструкция для сотрудников — «Как установить сертификаты Минцифры на Windows».

День 5. Назначить ответственного. У сертификатов должен быть владелец с календарём и правом принимать решение о переключении в выходной. Если такого человека нет — это и есть главный риск.

Что будет дальше

Новые отзывы возможны, когда меняется применимое право или политика конкретного УЦ и центр повторно оценивает заявителя, его владельцев и контроль. Единого автоматического запуска у всех УЦ одновременно нет. Компании, попавшие под ограничения, за лето меняли GlobalSign, HARICA, Let’s Encrypt или TrustAsia на НУЦ; планировать стоит исходя из того, что конкретный международный УЦ может отказать, если обслуживание клиента перестанет соответствовать применимому праву.

Сроки жизни сертификатов сокращаются по графику CA/Browser Forum: 200 дней сейчас, 100 — с марта 2027-го, 47 — с марта 2029-го. Ручное управление сертификатами перестанет работать физически.

С 1 марта 2027 года вступает в силу 210-ФЗ, а вместе с ним ожидается приказ Минцифры о типах сертификатов НУЦ, включая подпись кода (на сентябрь 2026 года это проект, опубликованный 31 августа). Статья 6 закона предусматривает перечень российских разработчиков программ для доступа к сайтам. Для финансового сектора обязательные случаи могут устанавливаться по согласованию с Банком России. Для заявителей вне бесплатных категорий выдача может стать платной: закон разрешает взимать плату, но сам не вводит безусловный тариф.

Параллельно развивается второй российский УЦ — ТЦИ (оператор доменов .ru и .рф). В конце августа Яндекс запустил публичную программу Yandex Browser Root Certificate Program с требованиями к УЦ (аудит, CT-логи, отчётность об инцидентах), и ТЦИ стал первым участником. Это шаг к тому, чтобы российские сертификаты проверялись по прозрачным правилам, а не «потому что так сказали».

Честные ограничения

Ни одна из стратегий не идеальна. Международный УЦ может отказать в выпуске или отозвать сертификат, если обслуживание клиента перестанет соответствовать применимому праву или политике центра. НУЦ закрывает доступ части аудитории и требует от пользователей действий, которые эксперты оценивают по-разному. Гибрид сложнее в поддержке и требует дисциплины. Мы не советуем «единственно верное» решение — мы советуем выбрать осознанно, с реестром, мониторингом и планом Б, а не в четыре утра в субботу.

Что дальше

Если вы хотите за 30 минут понять, в какой группе риска ваша компания, — оставьте заявку на экспресс-проверку сертификатов. Мы проверим все публичные адреса компании по журналам Certificate Transparency, покажем издателей, сроки и слабые места и предложим стратегию. Для клиентов Визард-АйТи на ИТ-аутсорсинге эта проверка уже сделана.

История обновлений

• 4 сентября 2026 — первая публикация; добавлены ссылки на первоисточники (Госуслуги, CA/Browser Forum, GlobalSign, Let’s Encrypt, CT-логи), навигация по циклу и подборка «Не открывается сайт банка, почта или 1С после отзыва SSL-сертификатов»; уточнены фактические формулировки.

Читайте также:

• Аудит сертификатов компании за один день: чек-лист и шаблон реестра
• Нужен ли вашей компании сертификат Минцифры? Матрица решения
• Сайт банка не открывается: установка сертификатов Минцифры на Windows
• Массовая установка сертификатов НУЦ в домене через групповые политики
• Как получить TLS-сертификат НУЦ Минцифры через Госуслуги