Как российские банки решали проблему с отзывом сертификатов безопасности
Переход на сертификаты Национального удостоверяющего центра Минцифры (НУЦ) стал вынужденным решением для многих российских компаний и госструктур в последние месяцы. Однако прежде чем перейти на отечественные технологии, бизнес пытался найти альтернативу у «дружественных» удостоверяющих центров (УЦ) в Индии и Китае. Об этом Frank Media рассказали несколько банкиров и подтвердил управляющий директор компании по созданию и развитию цифровых продуктов DTerra Павел Мянник.
Подобное поведение банков вполне рационально: согласно опросу «Анкетолога», только половина россиян готова использовать российские браузеры для доступа к сайтам кредитных организаций. Чтобы не потерять оставшуюся аудиторию, бизнесу приходится искать альтернативные решения.
Сертификаты пустили по миру
В июне 2026 года, после отзыва сертификатов GlobalSign, компании в основном переходили на сертификаты американских и европейских удостоверяющих центров, в частности Let’s Encrypt и Harica.
«Но к августу ситуация изменилась: крупнейшие банки сначала перешли на сертификаты китайской TrustAsia, а затем массово — в НУЦ Минцифры. Например, «Сбер», ВТБ, Альфа-банк, РСХБ, банк «Уралсиб», ПСБ, банк «Санкт-Петербург» и Т-банк», — перечисляет Мянник. Frank Media направила запросы в компании.
В ОТП-банке Frank Media подтвердили, что работают с несколькими УЦ и рассматривают весь доступный рынок, включая «дружественные» юрисдикции. «Часть сертификатов банка уже выпущена альтернативными центрами, и эта информация доступна при обращении к нашим веб-сервисам. Мы сознательно не привязываемся к одному поставщику, поскольку работоспособность клиентских сервисов не должна зависеть от одного внешнего контрагента», — объяснил технический директор СТО ОТП-банка Марат Хуламханов.
Российская инфраструктура работает штатно и закрывает потребности внутреннего рынка и государственных ресурсов, поясняет архитектор департамента «Информационная безопасность» компании «Рексофт» Даниил Левченко. «Однако для сайтов с международным трафиком сертификаты азиатских партнеров глобальных CA-центров (CA, Certificate Authority, удостоверяющий центр) остаются более удобным решением — они автоматически доверяются зарубежными браузерами и мобильными устройствами. Здесь нет политики, есть экономика: цена, скорость выдачи и кросс-платформенная совместимость», — резюмирует эксперт.
Доверие и падение трафика
Сертификаты альтернативных УЦ из Китая и Индии нельзя автоматически считать полноценной заменой GlobalSign или Harica, предупреждает Мянник. Сертификаты крупных международных центров встроены в основные системы и работают почти везде, у новых и небольших игроков такого покрытия нет. К тому же на некоторых старых устройствах такие сертификаты могут работать некорректно.
Кроме того, УЦ должны соблюдать требования браузеров и операционных систем (ОС), чтобы их корневые сертификаты оставались в доверенных хранилищах. В противном случае УЦ рискует потерять доверие со стороны ключевых платформ. Поэтому удостоверяющий центр может отзывать сертификаты отдельных компаний, чтобы не допустить более серьезных последствий для себя в будущем.
С этим тезисом согласились в банке «Уралсиб». Любая инфраструктура доверия вне национального контура несёт риск одностороннего решения, и смена одной юрисдикции на другую этот риск не убирает, будь то Китай, Индия, или любая другая страна, заявил Frank Media руководитель департамента цифровых сервисов и каналов банка Дмитрий Наранович.
С другой стороны, проблема доверия со стороны зарубежных браузеров и операционных систем актуальна и для сертификатов НУЦ Минцифры. Корневой сертификат НУЦ не встроен в «международные системы доверия», поэтому отечественные сайты могут оказаться недоступными для иностранных клиентов, партнеров или аудиторов, отмечает Мянник.
«Основная потеря для нас заключается в том, что современные ОС не поддерживают сертификаты НУЦ по умолчанию, что ведет к снижению активности пользователей. Кто-то сталкивается с трудностями при установке, кто-то привык пользоваться привычными браузерами, причин может быть множество», — согласился Наранович.
Иностранные браузеры, распространяемые «по умолчанию» на мобильных устройствах, не доверяют отечественным сертификатам и ограничивают доступ к сервисам. Для решения этой проблемы банки используют разные механизмы: от организации постоянной смены доменных имен сайтов и выпуска для них новых сертификатов иностранных УЦ до рекомендации клиентам установить корневой сертификат Минцифры или пользоваться «Яндекс браузером», подтвердил собеседник Frank Media в крупном банке.
Но «серебряной пули» для решения этой проблемы нет, и необходимо дождаться насыщения клиентской базы описанными выше решениями, резюмировал источник редакции.
Найдите 10 отличий
Ключевое отличие отечественных сертификатов от зарубежных с точки зрения пользователя связано с доверием корневому сертификату УЦ «из коробки» — то есть установленному по умолчанию на конкретном устройстве, отмечает Хуламханов. Корневой сертификат принадлежит УЦ, браузер проверяет цепочку доверия и устанавливает надежность сертификата.
«Корни (корневые сертификаты – FM) глобальных центров предустановлены практически везде, корень НУЦ Минцифры по умолчанию поддерживается в «Яндекс браузере» и «Атоме», в остальных браузерах требует установки вручную. Поэтому на массовых клиентских каналах мы ориентируемся на решения без дополнительных действий со стороны клиента, а там, где состав устройств контролируем, например, в партнерских интеграциях, мы используем более широкий набор вариантов, включая ГОСТ-алгоритмы», — резюмировал банкир.
С точки зрения производительности разницы между сертификатами нет, поскольку используются одни и те же стандарты и алгоритмы, а скорость соединения определяется настройками серверов и сетевой архитектурой, отметили представители банков.
При этом пока только половина опрошенных россиян готова использовать российские браузеры для доступа к сайтам банков, следует из опроса «Анкетолога». В то же время подавляющее число респондентов — 81% — серьезно воспринимает возникшие трудности, а каждый третий (36%) видит угрозу в том, что сайты кредитных организаций недоступны в зарубежных поисковиках.
Клиент голосует кликом
Смена сертификатов может сказаться на пользовательском трафике — прежде всего не напрямую через поисковую выдачу, а через доступность сайта для пользователей, обращает внимание Head of SEO «Ашманов и партнеры» Анастасия Курдюкова. По ее словам, «Яндекс» давно полноценно поддерживает сертификаты Минцифры: сайты с ними индексируются и ранжируются в поисковой выдаче. С Google ситуация иная. По этой причине многие банкиры констатировали падение трафика на своих сайтах в разговоре с Frank Media.
Сейчас сайты с сертификатами Минцифры и отозванными зарубежными сертификатами индексируются с протоколом https (защищенный протокол – FM), но пользователи, которые переходят на них с зарубежных браузеров, могут столкнуться с предупреждением о небезопасном соединении.
«Основная угроза в том, что для пользователей зарубежных браузеров c поисковиком Google сайт не открывается при клике и необходимо перейти на небезопасную версию (http протокол – FM)», — поясняет Курдюкова. Из-за этого часть пользователей может отказаться от перехода на сайт, опасаясь рисков безопасности. По словам эксперта, пока нельзя однозначно оценить, как сертификаты Минцифры будут восприниматься иностранными браузерами.
Чтобы сохранить аудиторию, компании могу использовать «зеркала» сайтов — размещать их на новых доменах и перенаправлять пользователей со старых адресов. Но это лишь временное решение, предупреждает Курдюкова: после того как новый домен будет связан с конкретной компанией, сертификат могут отозвать.
«Все компании с зеркалами ждет большой переезд со сменой домена. Риски в этом случае аналогичны обычному переезду. Как показывают все последние кейсы по переезду у крупных брендов, ни один из них хорошо не закончился, и многие до сих пор, спустя один-два года, восстанавливают трафик. Технически сайты станут доступны для той доли пользователей, у которых сейчас сайт не открывается, но при переезде совокупные потери трафика гораздо выше, чем в текущей вариации», — говорит эксперт.
По оценке Курдюковой, итоговый масштаб потерь будет зависеть от выбранной стратегии: переезд на http или смена домена — это глобальные переезды, в рамках которых можно потерять порядка 80% трафика. Но если оставить все как есть, потери будут зависеть от того, какая доля аудитории пользуется браузерами, не доверяющими сертификату НУЦ.
В опросе «Анкетолога» за период с 10 по 12 августа приняли участие 500 россиян.
Фото на обложке: marog — pixcells / Shutterstock