GlobalSign продолжает отзывать TLS-сертификаты российских организаций и сайты Рунета теряют доверие браузеров

Международный удостоверяющий центр GlobalSign в начале ноября уведомил «Руцентр» о новой серии отзывов TLS-сертификатов, которая затронет десятки документов российских организаций, в том числе компаний из последнего санкционного списка Евросоюза. С лета 2026 года зарубежные центры отозвали около 11 тыс. сертификатов у 1,3 тыс. российских организаций, и на GlobalSign с греческим HARICA пришлось около 75% отзывов. От сертификатов зависит работа интернет-банков, корпоративных систем, мобильных приложений и API-интеграций, поэтому удар приходится далеко не по одному сайту.

О новой волне стало известно 11 ноября на мероприятии «Руцентра». Руководитель развития доменов «Руцентра» Георгий Казаров сообщил, что уведомление пришло в начале месяца. Из 11 тыс. отозванных сертификатов 4830 пришлось на GlobalSign и 3456 на HARICA. Российские компании пытались уйти от первого поставщика ко второму, но ограничения добрались и до греческого центра, причём в ряде случаев сертификаты там переставали действовать почти мгновенно.

Технический центр Интернет подсчитал отзывы с 5 июня по 15 сентября. Генеральный директор центра Алексей Рогдев привёл цифры на конференции Tldcon 2026. За 100 с небольшим дней девять иностранных центров отозвали 7136 сертификатов у 620 российских компаний, и основная часть пришлась на четыре из них:

• центр GlobalSign отозвал 4787 сертификатов, или 67,1%;
• центр Actalis отозвал 884, или 12,4%;
• центр HARICA отозвал 614, или 8,6%;
• центр TrustAsia отозвал 538, или 7,5%.

Отзывы шли в 55 отдельных дней, а самые крупные волны прошли 18 июня (1432 сертификата), 23 июня (1376) и 17 июля (625). Данные «Руцентра» охватывают более долгий срок.

С начала мая 2026 года проверка клиентов по американским спискам OFAC SDN и BIS Denied Persons List и европейским аналогам стала для удостоверяющих центров обязательной, сообщили в «Руцентре». Правила пишет CA/Browser Forum, консорциум центров и разработчиков браузеров, в который входят Google, Apple, Microsoft и Mozilla. Государственным регулятором он не является и санкций не вводит, но браузеры могут исключить центр из списка доверенных, поэтому правила соблюдают все.

Первые масштабные отзывы GlobalSign начались в середине июня. По данным РБК, «Руцентр» получил уведомление о возможном отзыве сертификатов для 310 доменов 44 организаций. Под удар попали:

• домены «Роснефти» и Газпромбанка;
• сайты «Алросы» и ВЭБ.РФ;
• ресурсы Объединённой авиастроительной корпорации;
• ресурсы Positive Technologies и АНО «Диалог».

При отзыве сайт не взломан, сервер работает, данные на месте, но браузер перестаёт верить предъявленному документу и показывает предупреждение или отказывает в соединении. Мобильное приложение или корпоративный API, не сумевшие проверить сертификат сервера, разрывают связь, хотя оба сервера доступны. Российский пользователь видит это как предупреждение в зарубежном браузере или как приложение, которое отказывается пускать в аккаунт. ВТБ и Альфа-банк в июне и июле столкнулись с проблемами открытия отдельных ресурсов в зарубежных браузерах после перехода на российские сертификаты, при этом ВТБ заявил, что банковское приложение не пострадало.

Удостоверяющий центр Минцифры выпускает российские сертификаты с 2021 года, но их корневой сертификат не входит автоматически в зарубежные хранилища доверия, и Chrome, Safari или Edge без ручной настройки могут показывать ошибку. В июле Минцифры рекомендовало россиянам установить отечественные сертификаты на компьютеры и смартфоны. В «Яндекс Браузере» корневой сертификат уже встроен, для остальных программ его предложили скачать через «Госуслуги».

В конце октября Ассоциация банков России предложила Минцифры расширить использование отечественных сертификатов и ввести обязательную установку на смартфоны. Среди мер банкиры назвали:

• автоматическую установку при скачивании или обновлении российских приложений;
• предустановку на устройства при производстве;
• единый установщик или установку через «Госуслуги»;
• международную систему удостоверяющих центров с участием дружественных стран, чтобы российские сайты получали сертификаты, признаваемые за рубежом.

iOS ограничивает добавление корневых сертификатов в системное хранилище, а на Android сертификат в настройках не гарантирует, что его примут все приложения. Зарубежные посетители сайтов с российскими сертификатами по-прежнему будут получать предупреждения, и для компаний с международной аудиторией это отдельное препятствие.

Один сертификат способен обслуживать сразу несколько доменов, и его отзыв бьёт по куда большему числу ресурсов, чем главная страница сайта. Компаниям стоит:

• вести реестр сертификатов с доменами, центрами, сроками и ответственными сотрудниками;
• держать наготове план замены с проверкой цепочки доверия в разных браузерах и системах;
• обновлять закреплённые сертификаты в приложениях, где используется certificate pinning;
• следить за статусом отзыва, а не только за сроком действия.

Эксперты CISOCLUB отметили, что отзыв сертификата остаётся административным решением, а не признаком взлома, и ошибка в браузере означает потерю доверия к документу, а не утечку данных. Смена удостоверяющего центра внутри международной системы публичного доверия спокойствия не гарантирует, потому что правила одинаковы для всех участников. Компаниям с зарубежной аудиторией придётся держать публичные сайты на сертификатах, которые принимают браузеры, а внутренние сервисы переводить на собственную инфраструктуру доверия. Приложения с закреплением сертификатов нужно проверять заранее, иначе даже новый действительный сертификат оставит их без связи. Новая волна GlobalSign показывает, что кампания не закончилась, и планировать работу стоит с расчётом на новые отзывы.

Ранее сообщалось, что Минцифры подготовило проект постановления правительства о создании федеральной государственной информационной системы национального удостоверяющего центра (ГИС НУЦ). Система будет обеспечивать выдачу и отзыв российских сертификатов безопасности, проверку сайтов и информационных систем, подтверждение отечественного происхождения программного обеспечения, а также защищённое взаимодействие между участниками корпоративных сетей. Вступление документа в силу запланировано на 1 марта 2027 года.