Массовый отзыв SSL-сертификатов российских сайтов продолжается. Дальше будет сложнее
В начале ноября GlobalSign предупредил российских партнеров об очередной волне отзыва SSL-сертификатов. На этот раз под удар попадут в том числе компании, недавно включенные в санкционные списки Евросоюза.
Когда в июне начались массовые отзывы сертификатов, российский бизнес стал искать альтернативных поставщиков. Одним из вариантов были греческие и китайские удостоверяющие центры. Однако уже тогда IT-World обращал внимание на то, что такая замена не решает проблему. Прошло пять месяцев, и опасения оправдались.
Более 10 тысяч отозванных сертификатов
По данным Технического центра Интернет (ТЦИ), с начала июня по 15 октября зарубежные удостоверяющие центры отозвали 10 156 сертификатов российских организаций. Они охватывали 5675 доменных имен в 59 доменных зонах. Для сравнения, еще в середине сентября ТЦИ насчитывал 7136 отозванных сертификатов у 620 организаций.
Причем отзывают сертификаты сразу большими партиями. На пять дней пришлось 62% всех отзывов, зафиксированных к середине октября. Только за 18 и 23 июня было отозвано 2808 сертификатов.
К середине сентября больше всего сертификатов отозвал GlobalSign (4787). Но и другие зарубежные удостоверяющие центры не остались в стороне. На счету итальянского Actalis было 884 отозванных сертификата, греческого HARICA и китайского TrustAsia соответственно 614 и 538. Всего ТЦИ зафиксировал отзывы со стороны девяти зарубежных удостоверяющих центров.
Конечно, это не значит, что тысячи сайтов перестали работать. Многие компании успели заменить сертификаты, и пользователи ничего не заметили. Но одно дело поменять сертификат на сайте и совсем другое, когда их десятки или сотни и от них зависит работа корпоративных систем, мобильных приложений и сервисов партнеров. Причем никто не гарантирует, что через несколько недель не придется проделать всю эту работу заново.
Дело не только в санкциях
Одной из альтернатив GlobalSign для российских компаний стал греческий удостоверяющий центр HARICA. Но в июле проблемы с выданными им сертификатами возникли у клиентов по всему миру.
Согласно собственному отчету HARICA, 20 июля всего за 17 минут центр отозвал 63 525 сертификатов. Оказалось, что они не соответствовали правилам, которые установил сам удостоверяющий центр.
Через пять дней завершилась еще одна массовая операция по отзыву. На этот раз проблема затронула более 305 тыс. сертификатов, из которых 235 тыс. еще действовали. Самое интересное, что сертификаты соответствовали международным требованиям. Просто HARICA изменил порядок их выпуска, а собственную документацию вовремя не обновил.
Никаких взломов или утечек закрытых ключей не было, но клиентам все равно пришлось в срочном порядке менять сертификаты. До окончательного отзыва их успели обновить для 87% затронутых доменных имен.
На эти же июльские дни пришлись массовые отзывы российских сертификатов HARICA. Однако установить, затронули ли технические отзывы российские сертификаты и в каком количестве, пока не удалось.
Так что найти удостоверяющий центр, готовый работать с российскими компаниями, еще полдела. Нужно быть готовым к тому, что даже вполне исправный сертификат придется менять задолго до окончания срока его действия.
Сертификат на полтора месяца
Есть еще одно обстоятельство, которое осложнит жизнь российским компаниям. Сертификаты придется менять гораздо чаще. В апреле 2025 года CA/Browser Forum, объединяющий разработчиков браузеров и удостоверяющие центры, утвердил новые правила. Если раньше публичный TLS-сертификат можно было получить на 398 дней, то с 15 марта 2026 года максимум составляет 200 дней. Следующей весной этот срок сократится вдвое, до 100 дней, а с марта 2029 года сертификаты будут действовать не более 47 дней.
Делается это из соображений безопасности и к санкциям против России отношения не имеет. Чем меньше срок действия сертификатов, тем быстрее из обращения выводятся сертификаты со скомпрометированными ключами и устаревшими данными.
Возьмем для примера компанию, у которой тысяча сертификатов. Если раньше при максимальном сроке их действия нужно было выпускать около 900 сертификатов в год, то к 2029 году придется выпускать уже почти 7800. Без автоматизации здесь не обойтись.
К 2029 году результаты проверки прав на домен можно будет использовать повторно всего в течение десяти дней. Так что при очередном обновлении сертификата придется заново подтверждать, что домен по-прежнему находится под контролем компании. И этот процесс тоже придется автоматизировать.
Помимо автоматизации российскому бизнесу приходится решать еще одну задачу. Нет уверенности, что удостоверяющий центр, который выдал сертификат сегодня, не откажется работать с компанией через месяц.
Причем с сокращением сроков действия сертификатов для соблюдения санкций их даже необязательно будет отзывать. Достаточно отказать в выдаче очередного сертификата. А времени на то, чтобы найти другого поставщика и перейти к нему, останется гораздо меньше.
Что будет с Let’s Encrypt
Зачем искать нового поставщика и платить за сертификаты, если их можно бесплатно получить у Let’s Encrypt? Для многих российских компаний это действительно выход. Вот только за Let’s Encrypt стоит американская некоммерческая организация Internet Security Research Group (ISRG), которая тоже обязана соблюдать санкционное законодательство США.
Летом 2026 года ISRG дважды обновляла пользовательское соглашение. В своем разъяснении организация подчеркнула, что и раньше соблюдала американские санкционные и экспортные ограничения. Пока никаких общих запретов на выдачу сертификатов для доменов .RU и .РФ нет.
При этом Let’s Encrypt сокращает сроки действия сертификатов даже быстрее, чем того требуют международные правила. Сейчас стандартный сертификат выдается на 90 дней, с февраля 2027 года его будут выдавать на 64 дня, а еще через год срок действия сократится до 45 дней.
Если выпуск сертификатов автоматизирован, какая разница, как часто их менять? Но вспомним недавнюю историю с Beget. Когда клиенты пострадавшего от хакерской атаки провайдера начали массово переезжать на Timeweb, возникли проблемы с выпуском сертификатов Let’s Encrypt.
Поэтому запасной поставщик сертификатов нужен даже тем, кто давно автоматизировал их выпуск и обновление. И лучше заранее проверить, сколько времени займет переход на него.
Выпустить сертификат проще, чем добиться доверия
Почему бы российским компаниям просто не перейти на отечественные сертификаты? Получить российский сертификат не проблема. Но как быть, если браузер покупателя или программное обеспечение делового партнера ему не доверяет?
Ситуация постепенно меняется. В августе 2026 года Технический центр Интернет стал первым участником программы корневого доверия Яндекс Браузера. В октябре, как сообщал IT-World, Ассоциация банков России предложила предустанавливать российские корневые сертификаты в операционных системах.
Даже если пользователь установит российский корневой сертификат на смартфон, не факт, что все приложения будут ему доверять. В Android, например, современные приложения по умолчанию не доверяют корневым сертификатам, которые пользователь установил самостоятельно. Разработчики могут настраивать свои правила проверки сертификатов.
С похожей проблемой уже столкнулся Т-Банк. Как писал IT-World, после перехода банка на сертификаты Национального удостоверяющего центра Минцифры возникли сложности с проведением платежей через системы партнеров. Банк у себя все настроил, а вот программное обеспечение некоторых партнеров новым сертификатам не доверяло.
Российская компания может заменить иностранное оборудование и ПО, перенести данные в отечественный ЦОД и получить российские сертификаты. Но в отличие от серверов и операционных систем доверие к сертификатам нельзя импортозаместить в отдельно взятой компании.
Пока российским сертификатам не доверяют зарубежные браузеры и программные платформы, бизнесу придется зависеть от иностранных удостоверяющих центров. И с каждым сокращением срока действия сертификатов времени на поиск альтернативы будет оставаться все меньше.
