11 ноября 2026 года руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров на мероприятии компании рассказал, что в начале ноября «Руцентр» получил от японского удостоверяющего центра GlobalSign уведомление о плане нового массового отзыва SSL/TLS-сертификатов у российских сайтов. Его слова приводит РБК, пересказ появился и на Хабре. Речь идёт о десятках сертификатов разных организаций, в том числе попавших в последний санкционный список Евросоюза.
Для владельца сайта это продолжение той же истории, что началась летом: если сертификат отзывают, Chrome, Safari, Firefox и Edge могут показать предупреждение о небезопасном соединении или не открыть страницу. В июне я уже разбирал, как это выглядит на практике и что проверить на своём сервере. С тех пор волны повторялись, и цифры стали заметно больше.
Сколько сертификатов уже отозвали
По словам Казарова, с лета этого года зарубежные удостоверяющие центры отозвали около 11 тысяч сертификатов у 1,3 тысячи российских организаций. На GlobalSign пришлось 4830 сертификатов, на греческий центр HARICA 3456.
По данным «Компьютерры» со ссылкой на «Руцентр» и Технический центр Интернет, с июля отозвано 10 974 сертификата. Ещё 930 сертификатов отозвал итальянский центр Actalis, остальные случаи связаны с другими зарубежными поставщиками. В октябре отозвали 108 сертификатов, в том числе 24 wildcard, которые закрывают сразу основной домен и поддомены.
Часть организаций, у которых сертификаты раньше отозвал GlobalSign, переходила в HARICA. По словам Казарова, HARICA тоже произвёл отзыв, причём за несколько секунд, так что у владельцев сайтов не было времени нормально отреагировать.
Что известно о новой волне
Уведомление пришло в начале ноября. Новая волна, по словам Казарова, затронет десятки сертификатов. Среди организаций есть те, что попали в последний санкционный список ЕС.
Отсутствие компании в санкционных списках само по себе сохранность сертификата не гарантирует. По объяснению «Руцентра», поводом для проверки может стать обращение третьей стороны. Удостоверяющие центры проводят свою проверку, но в этой процедуре бывают ошибки. Тогда «Руцентр» пытается договориться, чтобы такой сертификат убрали из списка на отзыв. «Первые разы получалось плохо, но в каждой следующей волне отзывов всегда есть сертификат, по которому нам удаётся договориться с удостоверяющим центром и исключить его из списка отзывов», сказал Казаров.
В материале «Компьютерры» он добавил, что первые летние волны стали для владельцев сайтов почти форс-мажором: риск потери защищённого соединения мало кто воспринимал всерьёз. «Руцентр» уведомлял владельцев о предстоящем отзыве, вёл переговоры с удостоверяющими центрами и выпускал сертификаты ТЦИ для пострадавших компаний за свой счёт. После первых волн компания перешла на плановую работу, чтобы у клиентов заранее был план действий.
Почему сертификаты отзывают
Массовые отзывы начались в середине июня, после того как в начале мая вступили в силу обновлённые требования CA/Browser Forum. В этот консорциум входят крупнейшие удостоверяющие центры и разработчики браузеров: Google, Apple, Microsoft и Mozilla. Проверка организаций по спискам OFAC SDN, BIS Denied Persons и их европейским аналогам стала обязательной, и выдавать сертификаты компаниям из этих списков центрам запрещено.
Кроме санкционных ограничений, причиной отзыва могут быть требования законодательства страны, где расположен удостоверяющий центр, или жалобы третьих лиц. Само по себе российское происхождение сайта автоматический отзыв не означает.
Что это значит для сайта
Без действующего сертификата зарубежные браузеры могут не открыть сайт или показать предупреждение о небезопасном соединении. Это касается не только публичных страниц, но и личных кабинетов, API и внутренних сервисов.
С 2021 года в России работает Национальный удостоверяющий центр Минцифры, который выдаёт отечественные TLS-сертификаты. Их по умолчанию признают российские браузеры, а большинство зарубежных нет. После перехода на такие сертификаты сайты ряда российских банков, в том числе ВТБ и Альфа-банка, перестали нормально открываться в Chrome, Safari и Firefox. В конце октября Ассоциация банков России предложила Минцифры расширить применение отечественных сертификатов, в том числе предустанавливать их на смартфоны и компьютеры для российского рынка. В ведомстве говорили, что предложения проанализируют.
Генеральный директор ТЦИ Алексей Рогдев обратил внимание на ещё один риск: публичные списки отозванных сертификатов могут подсказать, какая система или внутренняя среда стоит за доменом. По статистике ТЦИ, TLS-инфраструктура российских компаний охватывает десятки юрисдикций и 59 доменных зон, а 14% отзывов пришлись на домены за пределами национальной зоны. «Руцентр» и ТЦИ рекомендуют провести аудит доменов и сертификатов, особенно wildcard, заранее подготовить резервные сертификаты российских удостоверяющих центров для критичных систем и пересмотреть имена доменов, которые могут раскрывать назначение внутренних сервисов.
Если у вас сертификат GlobalSign, HARICA или другого зарубежного центра, стоит проверить, на какую организацию он оформлен и не приходило ли уведомление от регистратора или самого удостоверяющего центра. Как проверить цепочку, поддомены и запасной вариант выпуска, я разбирал в июньской заметке, когда эта история только начиналась.
