Банки перешли на сертификаты Минцифры: что проверить владельцу сайта и интернет-магазина

В начале августа 2026 года клиенты ВТБ, Сбера, Альфа-Банка, Россельхозбанка, Промсвязьбанка и Уралсиба обнаружили, что сайты банков перестали открываться в Chrome, Safari и Edge. Браузеры показывали предупреждение о небезопасном соединении, а банки советовали установить Яндекс Браузер или сертификаты Минцифры с Госуслуг. Причина в том, что летом удостоверяющий центр GlobalSign отозвал сертификаты ряда подсанкционных компаний, и банки перешли на сертификаты Национального удостоверяющего центра Минцифры.

Для частного человека история закончилась установкой браузера. Для бизнеса она касается сайта, онлайн-оплаты, интеграций с банком и компьютеров бухгалтерии. Разберёмся, что проверить владельцу сайта и интернет-магазина и какие решения здесь за ним, а не за программистом.

Что именно произошло

Сертификат сайта подтверждает браузеру, что он связался именно с этим сайтом, а не с поддельным. Браузер доверяет сертификату, если его выпустил удостоверяющий центр из встроенного списка доверенных. В этих списках у Google, Apple, Microsoft и Mozilla есть международные центры вроде GlobalSign, но нет российского НУЦ.

Национальный удостоверяющий центр работает с 2022 года и выдаёт сертификаты бесплатно через Госуслуги. По данным сервиса Precert.ru, в октябре 2026 года действовало около 14 100 его сертификатов. Ими пользуются банки, государственные сервисы и часть крупного бизнеса. Без установленного корневого сертификата такие сайты нормально открываются только в Яндекс Браузере и в браузерах, куда разработчик встроил российский корень.

В конце июля Минцифры предупредило, что из-за отзыва зарубежных сертификатов часть российских сайтов может некорректно открываться в иностранных браузерах. Иными словами, ситуация не разовая, и в неё может попасть любой сервис, с которым работает ваша компания.

Ваш сайт: менять ли сертификат

Если на сайте стоит обычный сертификат международного центра, например бесплатный Let's Encrypt, менять ничего не нужно. Посетители открывают сайт в любом браузере, и переход на сертификат НУЦ для них только ухудшит ситуацию: большинство увидит предупреждение о небезопасном соединении и уйдёт.

Сертификат НУЦ имеет смысл, когда международный центр отказал или отозвал сертификат, как это случилось с банками. Тогда это способ сохранить защищённое соединение, но посетителям с Chrome и Safari придётся объяснять, что делать. Для интернет-магазина, где покупатель приходит из поиска и закрывает вкладку при первом предупреждении, это прямые потери продаж.

Полезно понимать и обратную сторону. Если ваш сайт попадёт под санкционные ограничения или ваш хостинг перестанет выпускать международные сертификаты, решение придётся принимать быстро. Лучше заранее знать, у кого и как выпускается сертификат вашего сайта и сколько времени займёт замена.

Оплата и интеграции: самое уязвимое место

Сайт интернет-магазина постоянно обращается к чужим сервисам: к платёжному шлюзу банка, к API для выставления счетов, к сервисам доставки, к GigaChat, если на сайте работает ИИ-помощник. Эти обращения идут не из браузера покупателя, а с сервера сайта. Сервер проверяет сертификат собеседника не менее строго, чем браузер, и корня НУЦ в нём обычно тоже нет.

Когда банк переходит на сертификат НУЦ, а сервер сайта о нём не знает, интеграция ломается. Снаружи это выглядит так: покупатель оплатил заказ, а сайт не получил подтверждения, или ссылка на оплату не формируется, или статусы платежей перестали обновляться. Владелец узнаёт об этом от покупателей, а не из мониторинга.

Правильное решение здесь одно: добавить корневой сертификат Минцифры на сервер для тех интеграций, которым он нужен. Неправильное, но популярное: отключить на сервере проверку сертификатов, чтобы «заработало». После этого сервер доверяет кому угодно, в том числе тому, кто подменит ответ платёжного шлюза. Если подрядчик предлагает такое решение, даже временно, попросите сделать иначе: временные настройки на серверах живут годами.

Компьютеры сотрудников

Бухгалтерия и финансовый отдел работают с интернет-банком каждый день. Если сайт банка в их браузере показывает предупреждение, самая опасная реакция это нажать «всё равно перейти» или «доверять этому сертификату». Мошенникам ничего не стоит сделать страницу с визуально таким же предупреждением, и привычка соглашаться на него однажды обойдётся дорого.

Безопасных вариантов два. Можно установить на рабочие компьютеры корневой сертификат Минцифры, скачав его только с официальной страницы Госуслуг gosuslugi.ru/crt. А можно использовать для банка Яндекс Браузер, где корень уже встроен. Если не хочется расширять доверие на весь компьютер, в Firefox сертификат можно установить в отдельный профиль и пользоваться им только для банков и госуслуг.

Пять вопросов подрядчику

Чтобы понять, затронет ли вас эта история, достаточно короткого разговора с тем, кто обслуживает сайт.

Первый вопрос: какой сертификат стоит на нашем сайте, кто его выпускает и когда он продлевается. Второй: с какими внешними сервисами сайт обменивается данными, и какие из них уже перешли на сертификаты Минцифры. Третий: доверяет ли наш сервер корню НУЦ там, где это нужно, и не отключена ли где-нибудь проверка сертификатов. Четвёртый: узнаем ли мы о сбое оплаты сами, до того как напишет покупатель. Пятый: что мы будем делать, если международный центр откажется продлевать сертификат нашему сайту.

Если на какой-то вопрос нет ответа, это и есть список работ на ближайший месяц.

Итог

Переход банков на сертификаты Минцифры почти не затрагивает публичный сайт с обычным сертификатом, и менять его без причины не нужно. Затрагивает он то, что работает за сценой: онлайн-оплату, интеграции с банками и сервисами на сертификатах НУЦ, компьютеры бухгалтерии. Там нужен корневой сертификат с Госуслуг, установленный точечно, и запрет на отключение проверки сертификатов, даже временный.