07:0008 сентября 2026
Владельцы российских сайтов могут получать "цифровые паспорта", причём бесплатно. Импортозамещённая безопасная интернет–коммуникация станет обязательной с 1 марта.
Практически весь трафик во Всемирной паутине уже много лет шифруется: на сайтах и у пользователей устанавливаются специальные TLS/SSL–сертификаты. Использование сайтов без протокола HTTPS считается небезопасным, они могут блокироваться браузерами, понижаться или исчезать из поисковой выборки.
Протокольная война
Обеспечивающие безопасную передачу данных сертификаты (специальные микропрограммы) выпускаются удостоверяющими центрами. Признанными лидерами являются американские компании Let's Encrypt, DigiCert и GoDaddy, японская GlobalSign, британская Sectigo и другие. Их сертификаты изначально встраиваются в популярные браузеры (Chrome, Firefox, Safari и пр.).
Будучи резидентами недружественных государств, удостоверяющие центры попали под вводимые против нашей страны санкции, ограничивающие работу с государственными и иными включёнными в чёрные списки российскими структурами. Уже 1 марта 2022 года DigiCert отозвал сертификат у сайта Банка России, позже его лишились и другие финансовые организации.
Работу на отечественном рынке продолжает центр GlobalSign. Чистая прибыль его дочернего ООО "Джи–Эм–О Глобал Сайн Раша" в 2025 году выросла до 179 млн рублей. Но когда к антироссийским санкциям присоединился Международный консорциум CA/Browser Forum, сертификаты у госорганов, банков и других организаций стал отзывать и этот центр. Директор российской "дочки" Дмитрий Рыжиков от комментариев отказался.
В итоге тысячи сайтов, в том числе относящихся к финансовой и иной критической инфраструктуре, оказались без защиты. Заходящие на них пользователи могли увидеть соответствующее предупреждение, а антивирусы — заблокировать доступ.
Наш ответ интернету
Вместе с тем ещё в 2022 году российские сертификаты стал выпускать национальный удостоверяющий центр (НУЦ), созданный на базе подведомственного Минцифры НИИ "Восход". Шифрование производится как по международным стандартам, так и в соответствии с принятыми ещё в 2012 и 2015 годах ГОСТами.
Но только теперь Минцифры решило легализовать все организационные, юридические и технические аспекты использования национальных сертификатов. Проект соответствующего приказа был представлен в последних числах августа. В ведомстве убеждены, что без введения предложенных требований отечественная информационная инфраструктура останется беззащитной перед кибератаками.
“
"Отсутствие должного регулирования и реализации предусмотренных мер влечёт негативные последствия, в том числе несанкционированный доступ к государственным, служебным или персональным данным. Это может привести к утечкам информации, разглашению государственной тайны или компрометации личных данных граждан", — отмечается в пояснительной записке.
Вступить в силу приказ должен 1 марта 2027 года.
По мнению эксперта удостоверяющего центра "СКБ Контур" Ивана Быкова, внедрение сертификатов безопасности от НУЦ сводит на нет риски отзыва из–за иностранных санкций.
“
"Ожидается, что в первую очередь их использование будет предусмотрено для государственных и муниципальных учреждений при электронном взаимодействии. Однако правительство России вправе расширить круг организаций, обязанных использовать отечественные сертификаты", — полагает эксперт.
За нарушение, в том числе наличие на сайте недружественного TLS, на владельца сайта может налагаться административный штраф.
Цифровой паспорт
В НУЦ можно получить сертификат как базового уровня, подтверждающий только факт управления конкретным доменом (DV–Domain Validation), так и продвинутый — OV (Organization Validation). Последний является также "паспортом" владельца сайта.
Минцифры предписывает включать в него название организации, полный юридический адрес, ИНН и ОГРН, а в отношении частных владельцев — фамилию, имя, отчество, ИНН и даже СНИЛС.
“
"Все параметры сертификата, описанные в проекте приказа Минцифры, — открытая информация, она будет доступна всем. Так устроена инфраструктура открытых ключей", — поясняет начальник удостоверяющего центра компании "Газинформсервис" Сергей Кирюшкин.
Отметим, что новые правила регистрации доменов, принятые правительством России 31 августа, исключают публикацию любых персональных данных их частных владельцев.
В отличие от иностранных удостоверяющих центров, получить любой сертификат в НУЦ можно будет только пройдя идентификацию, в том числе на портале "Госуслуги".
В настоящее время НУЦ оказывает такие услуги бесплатно, но в перспективе правительство России вправе ввести плату за сертификаты уровня OV.
Однако законодательством пока не определено, кто должен использовать такие продвинутые "паспорта".
Эксперты полагают, что сертификаты уровня OV станут обязательными для сайтов государственных структур всех уровней, финансовых организаций и субъектов критической информационной инфраструктуры — телекоммуникаций, транспорта, медицины, энергетики, ОПК и так далее. А также для крупных операторов персональных данных (включая маркетплейсы, платёжных агентов и пр.).
Вотум недоверия
Главным недостатком отечественных TLS–сертификатов руководитель проектов Центра сертификации ТЦИ Никита Новиков считает отсутствие доверия со стороны иностранных браузеров и операционных систем: "Впрочем, установить корневой сертификат НУЦ в Chrome или Safari пользователь может за 5 минут. Вот только не каждый захочет это делать".
Схожего мнения придерживается и Сергей Кирюшкин.
“
"Необходимость вручную устанавливать российский корневой сертификат не доставляет удовольствия большинству пользователей. Общим решением является признание сертификата НУЦ производителями популярных операционных систем и браузеров. Это стратегическая задача, которую, как теперь стало очевидно, нужно решать обязательно", — убеждён эксперт.
Российские сертификаты необходимы прежде всего ресурсам, которые не могут получить или использовать зарубежные.
“
"При этом российские сертификаты выполняют точно такие же функции: обеспечивают шифрование соединения и подтверждают подлинность ресурса. С точки зрения технологий принципиальной разницы нет — соединение в обоих случаях шифруется и защищается. Основной риск возникает, если пользователь привыкает к предупреждениям браузера о недоверенном сертификате и начинает их игнорировать. В таком случае он с большей вероятностью может перейти на действительно мошеннический ресурс", — полагает директор Глобального центра исследования и анализа угроз "Лаборатории Касперского" Игорь Кузнецов.
Большой брат зажмурился
Вместе с тем навязываемые государством средства шифрования и выпускающий их НИИ "Восход" могут не вызывать особого доверия у пользователей.
Популярно мнение, что установка отечественного сертификата в браузер позволит соответствующим службам просматривать весь трафик и даже получить доступ к самому компьютеру.
Эксперты опровергают эти домыслы.
“
"Сам сертификат не читает переписку и ничего никуда не передаёт, это технически невозможно. Но через него гаджет решает, каким сайтам доверять. И если удостоверяющий центр без проверки выдаст сертификат на чужой домен, например банка или почтового сервиса, браузер с установленным корневым сертификатом этого центра примет фишинговый сайт за настоящий. Международные центры десятилетиями выстраивали систему сдержек против таких злоупотреблений. У НУЦ часть этих механизмов есть, но практику ещё предстоит наработать", — поясняет директор по информационной безопасности компании CommuniGate Pro Александр Буравцов.
Для предупреждения рисков (в том числе эмоциональных) IT–специалисты предлагают наиболее опасливым пользователям просто разделить потоки.
На российские сайты, в первую очередь государственные, банковские и иные критические, заходить с отечественного браузера "Яндекс", имеющего встроенный сертификат НУЦ. А на зарубежные ресурсы (особенно почтовые) — с иностранных браузеров, на которых установлен исключительно импортный TLS–сертификат.
