Сайты ВТБ, Сбербанка и налоговой перестали открываться в Chrome и Safari. Разбираю сертификатный кризис рунета и то, что о нём говорят эксперты

За два месяца иностранные удостоверяющие центры отозвали сертификаты у сотен российских организаций: банков, госструктур, крупных корпораций. Причина в новых требованиях международного консорциума о проверке по санкционным спискам. Разбираю хронологию кризиса, честные мнения экспертов о рисках перехода на российские сертификаты и то, что это значит для видимости сайта в принципе

Если этим летом вы пытались зайти в личный кабинет ФНС или открыть сайт своего банка в Chrome или Safari и видели предупреждение о небезопасном соединении? Вы столкнулись не со сбоем на вашей стороне. За последние два месяца иностранные центры сертификации один за другим отозвали TLS-сертификаты у сотен российских организаций, и конца этому процессу пока не видно.

Разберу хронологию кризиса, техническую причину, честные и порой тревожные оценки экспертов и то, что вся эта история означает для видимости любого сайта, не только банковского.

Отсчёт обычно ведут с 13 июня 2026 года, когда центр сертификации GlobalSign начал поэтапный отзыв сертификатов у российских организаций. Первая волна задела порядка 15-20 тысяч доменов второго уровня. Спустя две недели, ближе к концу июня, последовала вторая волна: под ограничения попали около 310 доменов, принадлежащих 44 крупным компаниям, включая Роснефть, Газпромбанк, Алросу, ВЭБ.РФ, Объединённую авиастроительную корпорацию и даже Positive Technologies, компанию, которая сама занимается кибербезопасностью.

20 июля пришёл черёд государственных сервисов: у домена личного кабинета ФНС был отозван сертификат GlobalSign. Подача деклараций, оформление налоговых вычетов и другие функции перестали работать. В Firefox отзыв блокировал соединение намертво, кнопка «всё равно перейти» не срабатывала, потому что отозванный сертификат попадает в списки, которые браузер проверяет при каждом подключении. Похожая история случилась чуть раньше: 16 июля больше всего жалоб в российском сервисе мониторинга доступности сайтов пришлось на Картотеку арбитражных дел, а ещё в июне GlobalSign отзывал сертификаты и у сайтов российских судов.

23 июля Минцифры выпустило официальное предупреждение: при отзыве зарубежных сертификатов российские сайты могут открываться некорректно, и порекомендовало заранее установить сертификат национального удостоверяющего центра. Предупреждение оказалось не перестраховкой. Вечером 3 августа наступила новая, ещё более заметная волна: китайский центр TrustAsia практически одновременно отозвал сертификаты у доменов Сбербанка, ВТБ, Т-Банка, Совкомбанка, ПСБ, Россельхозбанка и других финансовых организаций. К этому моменту часть банков уже успела перейти на сертификаты национального удостоверяющего центра Минцифры, но далеко не все.

Техническую причину кризиса разные независимые источники называют одинаково. С 4 мая 2026 года международный консорциум CA/Browser Forum, объединяющий крупнейшие удостоверяющие центры и производителей браузеров, включая Google, Apple, Microsoft и Mozilla, сделал обязательной проверку клиентов по санкционным спискам США и Евросоюза при выдаче и продлении сертификатов. Раньше такая проверка была добровольной практикой отдельных центров, теперь стала общим правилом. GlobalSign после этого провёл аудит своего клиентского портфеля и начал поэтапное аннулирование сертификатов российских организаций.

По данным Минцифры, доля именно GlobalSign в рунете не превышала 5%, но среди коммерческих иностранных сертификатов эта доля была значительной, поэтому последствия ощутили сотни организаций. К тому же за GlobalSign в течение лета последовали и другие центры: Let's Encrypt, Actalis, а позже греческий HARICA и китайский TrustAsia, каждый по своей причине и в своё время.

Логику происходящего специалисты по кибербезопасности обычно описывают просто: удостоверяющие центры не могут влиять на правила международного консорциума, поэтому российским организациям остаётся один путь, переходить на сертификаты Национального удостоверяющего центра Минцифры. Проблема в том, что операционные системы и браузеры ряда иностранных производителей по умолчанию этим сертификатам не доверяют.

Здесь стоит остановиться подробнее, потому что мнения профессионального сообщества расходятся, и расхождение честное. Ниже подборка оценок, которые эксперты дали изданию Forbes.

Часть экспертов называет переход вынужденной, но разумной мерой. Гендиректор хостинг-провайдера RUVDS Никита Цаплин подчёркивает: с технической стороны сертификаты Минцифры это обычные сертификаты, шифрование они обеспечивают в полном объёме, ровно так же, как зарубежные, включая защиту от сайтов-клонов и перехвата трафика третьими лицами. Проблема исключительно в доверии: корневой сертификат национального центра просто не встроен по умолчанию в хранилища большинства зарубежных браузеров.

При этом тот же эксперт называет важную техническую особенность: любой корневой сертификат, добавленный в доверенные на устройстве, архитектурно может быть использован для расшифровки трафика. Это общее свойство работы с открытыми ключами, а не специфика именно НУЦ, но задуматься об этом всё равно стоит.

Более тревожную позицию занимает гендиректор Института исследований интернета Карен Казарян. Он предупреждает о риске другого рода: если пользователи привыкнут кликать «продолжить» на предупреждениях о небезопасном соединении, рано или поздно кто-то из них перейдёт по такой же ссылке на мошеннический сайт, имитирующий банк. Иными словами, массовое приучение аудитории игнорировать предупреждения браузера снижает бдительность не только к легитимным российским сайтам, но и вообще ко всем подобным предупреждениям.

Ещё жёстче высказывается технический эксперт консалтинговой компании RKS Global: серьёзные удостоверяющие центры, попадающие в доверенные списки браузеров, проходят многочисленные проверки, и при малейшем нарушении их из этих списков быстро исключают. Национальный удостоверяющий центр такими требованиями не связан и технически может выдать сертификат на любой домен в мире любому обратившемуся. Из этого эксперт делает практический вывод: не стоит добавлять сертификаты НУЦ в доверенные на устройствах, где важна приватность, а для российских сервисов лучше использовать отдельное устройство.

Бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий предлагает более умеренный практический выход: если доступ нужен только к нескольким российским сервисам, разумнее не устанавливать корневой сертификат в основную систему целиком, а завести отдельный браузер, например Яндекс Браузер с уже встроенной поддержкой, и использовать его исключительно для российских ресурсов. Такой подход, по его словам, минимизирует область доверия: основной браузер для международных сервисов остаётся с исходным набором доверенных центров, а российские сайты открываются в изолированной среде.

У кризиса нашёлся и рыночный бенефициар. По данным Forbes, на фоне массового перехода банков и компаний на национальные сертификаты, которые из коробки поддерживает только отечественный браузер, Яндекс Браузер с Алисой AI 4 августа возглавил топ бесплатных приложений в российском App Store. Вынужденная техническая мера обернулась заметным ростом установок продукта, который эту проблему решает без дополнительных действий пользователя.

Ярче всего кризис проявился в истории с банками и госсервисами, потому что там задета критичная функциональность: оплата, налоговые декларации, судебные документы. Но техническая природа проблемы касается вообще любого сайта, перешедшего на сертификат Минцифры и имеющего аудиторию за пределами Яндекс Браузера.

Здесь уместно вернуться к теме, которой я обычно занимаюсь в этом блоге, потому что она приложима и здесь. Видимость бренда сегодня определяется не только тем, упоминают ли вас в поисковой выдаче или в ответах нейросетей, но и тем, откроется ли вообще то, на что ведёт ссылка. Предупреждение о небезопасном соединении для обычного пользователя действует практически как отсутствие ссылки: доверие теряется в момент клика, ещё до того, как человек увидел содержимое страницы. Для доменов, перешедших на сертификаты национального центра, это теперь не гипотетический, а действующий риск, причём риск, который способен проявиться в одну ночь, как показал пример нескольких банков 3 августа.

Три практических шага для тех, кого кризис коснулся или может коснуться.

Первое. Проверьте, каким центром выпущен ваш текущий сертификат, и узнайте у своего провайдера или регистратора, есть ли риск отзыва в ближайшее время. Ситуация меняется быстро: только за два месяца сертификаты своих российских клиентов так или иначе отозвали минимум пять разных международных центров.

Второе. Если переход на сертификат Минцифры уже неизбежен, откройте свой сайт из разных браузеров без предустановленных исключений и посмотрите на картину глазами пользователя, который ничего вручную не настраивал. Часть аудитории физически не сможет открыть сайт без дополнительных действий, и это стоит учитывать в коммуникации с клиентами заранее, а не постфактум.

Третье. Не считайте вопрос закрытым после установки любого сертификата. История лета 2026 года показала что список международных центров, готовых обслуживать российские организации, продолжает сужаться, а требования международного консорциума меняются быстрее, чем успевает адаптироваться конкретный бизнес.

Сертификатный кризис рунета оказался длиннее и шире, чем эпизод с несколькими банками. Он развивался волнами два месяца, задел десятки крупных компаний и государственные сервисы, а решение у каждого участника цепочки своё, и ни одно не идеальное. Пользователям предлагают выбирать между установкой корневого сертификата, который эксперты оценивают по-разному, отдельным браузером для российских ресурсов или переходом на устройство, где вопрос вообще не возникает.

Для бизнеса с сайтом вывод остаётся тем же, что и в истории с видимостью в любом другом смысле: недоступность страницы из-за сертификата бьёт по аудитории так же, как отсутствие в поисковой выдаче, только грубее, потому что теряется не позиция в рейтинге, а сама возможность открыть страницу. Проверить свой сертификат сегодня стоит дешевле, чем узнать о проблеме от клиента, которому сайт однажды просто не открылся.

Пишу здесь регулярно про AI в маркетинге, видимость брендов в нейросетях, GEO/AEO. Подписывайтесь, чтобы не пропустить следующее.