АНО "Руцентр" опубликовала данные об отзыве SSL/TLS-сертификатов российских компаний. Руководитель развития доменов и сопутствующих сервисов "Руцентра" Георгий Казаров сообщил, что иностранные удостоверяющие центры начали отзывать сертификаты с июня 2026 г. Всего отозвано около 11 тыс. сертификатов, затронуты примерно 1,3 тыс. организаций. Ключевой тезис документа: отсутствие компании в санкционных списках не гарантирует сохранности ее сертификата - отзывы происходят и вне прямой привязки к санкциям.

По данным дашборда Технического центра, интернет-отзывы идут чередой накатывающих волн, пять крупнейших из которых пришлись на лето. 18 июня японский GlobalSign отозвал 1432 сертификата, 23 июня - еще 1379, 17 июля совместная волна GlobalSign и греческого HARICA - 629. 20 июля HARICA отозвал 1241 сертификат, из них 1235 - буквально за секунду, а 25 июля - 1614, из которых 1577 также ушли за секунду.

Осенью кампания продолжилась: в октябре отозвано еще 108 сертификатов, 24 из них - обобщенные (wildcard), покрывающие домен и все его поддомены. 3 ноября 2026 г. "Руцентр" получил от GlobalSign очередное уведомление о предстоящем отзыве.

По активности лидируют GlobalSign с 4830 отозванными сертификатами и HARICA с 3456. Далее следуют Actalis (930), LiteSSL (316), TrustAsia (229), Starfield (208), SSL.com (91), JPRS (25) и ZeroSSL (4). На долю двух лидеров пришлась основная часть всех отзывов.

SSL/TLS-сертификат - это цифровой документ, который подтверждает, что сайт действительно принадлежит компании, а не мошенникам, и шифрует данные между сайтом и посетителем: пароли, платежи, личные данные. Именно изображение замка в адресной строке браузера - знак того, что сертификат работает. Если сертификат отзывают, браузеры перестают ему доверять: сайт не открывается или пугает посетителей предупреждениями об угрозе. Для компании это означает отток клиентов, парализованные онлайн-сервисы и репутационный ущерб - как будто магазин в один день лишился вывески, а дверь закрыли на замок.

Кто попадает под прицел

Методика формирования списков на отзыв описана в отчете "Руцентра". Отсчет времени начинается либо с попадания лица в санкционные списки Евросоюза или США, либо с обращения третьих лиц с жалобой. Комплайнс удостоверяющего центра обязан реагировать на обращения пользователей и выполнять установленные процедуры. Если отзыв уже состоялся, ситуация сильно осложняется.

Под прицел попадают компании из санкционных списков, причем риск будет выше, если в списке прямо указано доменное имя: в последнем крупном списке ЕС основной домен стал обязательным элементом информации о компании. При этом удостоверяющие центры обязаны выполнять как требования локального законодательства, так и правила международного консорциума CA/Browser Forum.

В ответ "Руцентр" действует по четырем направлениям: переговоры с удостоверяющими центрами по каждому домену из списков, мониторинг отзывов в реальном времени, выпуск отечественных сертификатов ТЦИ без ожидания согласований и поиск альтернативных поставщиков.

Ловушки и рабочие меры

В отчете разобраны и решения, которые на практике не работают. Оформить сертификат на сотрудника не выйдет: удостоверяющий центр смотрит на наполнение сайта на домене, а не на администратора. Создание зеркал сайта, наоборот, играет на руку фишерам с тайпо-доменами, облегчая им подделку ресурса. Уход в иностранный удостоверяющий центр для финтеха бессмысленен: срок жизни сертификата у подсанкционного финтеха близок к нулю, а потраченные деньги не возвращаются.

Рабочий перечень открывает аудит доменов и создание их карты - какие домены какими сертификатами защищены. Далее - заранее подготовленный с персональным менеджером план перевыпуска. Отдельного внимания требуют обобщенные сертификаты: один такой отзыв выводит из строя домен и все его поддомены.

Стоит также учитывать тренд на сокращение сроков действия сертификатов, продумать замену адресов критических систем, чтобы название домена не раскрывало его наполнение, использовать самоподписанные сертификаты там, где это допустимо, и заранее проработать коммуникацию с клиентами на случай недоступности сайта.

Эффект домино

"Текущая волна отзыва SSL/TLS-сертификатов - событие вполне предсказуемое. Давление на российскую цифровую инфраструктуру будет только усиливаться, и отзыв сертификатов - один из наиболее чувствительных инструментов этого давления", - считает председатель совета по противодействию технологическим правонарушениям Координационного совета негосударственной сферы безопасности России, основатель компании "Интернет-Розыск" Игорь Бедеров.

По его словам, в мае 2026 г. вступили в силу обновленные требования CA/Browser Forum, сделавшие проверку клиентов по санкционным спискам строгой обязанностью удостоверяющих центров. "Для GlobalSign, HARICA и других центров это означало, что либо они отзывают сертификаты у подсанкционных клиентов, либо сами рискуют быть исключенными из "белых списков" браузеров, что означает мгновенную и фатальную потерю бизнеса", - пояснил Игорь Бедеров.

В зоне наибольшего риска эксперт видит компании банковского сектора, страхования, промышленности, телекома, ИТ и ритейла, попавшие в санкционные списки ЕС и США. "Переход на отечественные сертификаты ТЦИ или НУЦ Минцифры - это стратегически верный и наиболее устойчивый путь, - отмечает Игорь Бедеров. - Главный риск здесь в том, что такие сертификаты не будут автоматически признаваться зарубежными браузерами - Chrome, Safari, Edge". Самоподписанные сертификаты он называет техническим "костылем", приемлемым для внутренних систем с ограниченным кругом пользователей, а смену адресов критических систем - радикальной и дорогостоящей мерой.

Особую критичность ситуации придают обобщенные сертификаты: "Отзыв wildcard автоматически "обрушивает" безопасность сразу всех сервисов компании - от основного сайта до личного кабинета, API и платежного шлюза. Это создает "эффект домино" для всей ИТ-инфраструктуры". Для минимизации потерь Игорь Бедеров советует провести инвентаризацию сертификатов - особенно обобщенных, - спланировать миграцию на доверенные российские удостоверяющие центры, настроить мониторинг списков отзыва и заранее продумать коммуникацию с клиентами, чтобы те понимали причину недоступности и знали альтернативные каналы получения услуг.