ЦС ТЦИ вывел сервис ACME в промышленную эксплуатацию
Центр сертификации Технического центра Интернет (ЦС ТЦИ) завершил публичное тестирование и запустил в промышленную эксплуатацию сервис ACME. Он позволяет автоматизировать выпуск и продление TLS-сертификатов для доменов и интернет-сервисов, встроить эти операции в процессы CI/CD и панели управления, а также сократить ручную работу при обслуживании распределенной инфраструктуры. Об этом CNews сообщили представители ООО «ТЦИ».
ACME — открытый протокол, который стандартизирует взаимодействие между клиентом и центром сертификации: от создания заказа и подтверждения права управления доменом до получения и отзыва сертификата. Сервис будет полезен администраторам, DevOps-инженерам, хостинг-провайдерам и разработчикам, которые управляют большим количеством доменов и сервисов. Для подключения подойдут распространенные ACME-клиенты, в том числе acme.sh, lego и Certbot, если их настройки учитывают требования ЦС ТЦИ к запросам на сертификат.
В первой промышленной версии сервис выпускает сертификаты в ветке ECDSA A1 с ключами ECDSA P-256. Для подтверждения управления доменом доступны два метода: HTTP-01 — размещение проверочных данных на веб-сервере, и DNS-01 — публикация TXT-записи по имени _acme-challenge.<домен>. Сервис также поддерживает отзыв сертификатов через ACME.
При внедрении ACME специалисты ТЦИ связали стандартный протокол с действующими механизмами проверки доменов и выпуска сертификатов. Публичный API отделен от изолированного контура центра сертификации: запросы проходят через контролируемые внутренние интерфейсы, где ЦС проверяет право управления доменом, параметры открытого ключа и соответствие запроса политике выпуска. Промышленные сертификаты получают SCT-метки российских журналов прозрачности Certificate Transparency «Яндекса» и VK. Эти метки подтверждают, что журнал принял сертификат для включения в публично проверяемый реестр.
«ACME делает работу с сертификатами более современной и удобной: пользователи меньше времени тратят на ручные операции и больше — на развитие сервисов. Использование стандартного протокола и привычных клиентов упрощает интеграцию и снижает нагрузку на эксплуатацию, — отметил генеральный директор ТЦИ Алексей Рогдев. — Цель ЦС ТЦИ — создать в России международный центр сертификации, полноценного участника глобальной инфраструктуры доверия».
Владимир Маракшин, «Киберпротект»: Заказчики хотят видеть систему резервного копирования частью цельного ИТ-ландшафта Безопасность
Для проверки интеграций работает отдельная тестовая среда. Она позволяет отладить подтверждение домена, получение и автоматическую установку сертификатов до перехода в промышленную среду. Тестовые сертификаты используют отдельную цепочку доверия и не предназначены для публичных ресурсов.
При подключении необходимо учитывать ограничения первой версии: серверы имен домена должны быть настроены в соответствии с инструкцией, запрос на сертификат должен содержать доменное имя в поле Subject/CN.
ТЦИ начал строить центр сертификации в 2019 г. — сразу по требованиям CA/Browser Forum и WebTrust, которым следуют международные центры сертификации. С 2022 г. ЦС ТЦИ добровольно передает сведения о выпущенных сертификатах в журналы прозрачности сертификатов (CT логи). Это позволяет рынку самостоятельно проверять выпуск сертификатов и повышает доверие к инфраструктуре. В августе 2026 г. ЦС ТЦИ стал первым участником Yandex Browser Root Certificate Program.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.