GlobalSign начал новую волну отзыва сертификатов безопасности российских сайтов

По информации «Руцентр» (входит в группу «Рунити»), один из крупнейших мировых центров сертификации GlobalSign начал новую волну отзыва SSL/TLS‑сертификатов российских сайтов. Всего к настоящему времени в России было отозвано 11 тыс. сертификатов у 1,3 тыс. организаций.

Руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров пояснил, что речь идет о десятках сертификатов разных организаций, которые в том числе попали в последний санкционный список Евросоюза.

Представитель «Руцентра» пояснил, что:

• с лета этого года было несколько волн отзыва сертификатов. Помимо GlobalSign, сертификаты также отзывал греческий удостоверяющий центр HARICA, где выпускали сертификаты российские организации, у которых ранее сертификаты отозвал GlobalSign;

• HARICA также произвёл отзыв сертификатов, причём за несколько секунд, то есть у владельцев сайтов не было времени адекватно отреагировать на ситуацию;

• Всего зарубежные центры отозвали 11 тыс. сертификатов у 1,3 тыс. российских организаций. Из этого количества на GlobalSign пришлось 4830 сертификатов, на HARICA — 3456;

• в первую очередь зарубежные центры отзывают сертификаты у организаций, попавших в санкционные списки ЕС и США, поскольку должны выполнять требования Международного консорциума CA/Browser Forum;

• причиной отзыва сертификатов могут быть требования законодательства той страны, в которой расположен удостоверяющий центр, или жалобы третьих лиц;

• иногда удостоверяющие центры допускают ошибки и отзывают сертификаты, не подпадающие под перечисленные причины. В этом случае «Руцентр» пытается «вести диалог» с центрами, чтобы убрать такой сертификат из списка отзываемых. «Первые разы получалось плохо, но в каждой следующей волне отзывов всегда есть сертификат, по которому нам удаётся договориться с удостоверяющим центром и исключить его из списка отзывов», — уточнил Казаров.

В начале мая 2026 года вступили в силу обновлённые требования к проверке организаций CA/Browser Forum (глобальный регулятор, в который входят все крупнейшие центры сертификации мира и разработчики браузеров — Google, Apple, Microsoft, Mozilla — и который устанавливает единые правила выпуска и отзыва цифровых сертификатов). По ним вводится прямой запрет для УЦ выдавать сертификаты компаниям из санкционных списков — проверка по OFAC SDN List, BIS Denied Persons List и их европейским аналогам стала обязательной.

В GlobalSign в июне 2026 года начали процедуру принудительного отзыва ранее выпущенных SSL-сертификатов у компаний из России, попадающих под санкционные ограничения ЕС/США.

Ранее в Let’s Encrypt пояснили, что сертификаты продолжат выдаваться для России, но не будут доступны для российских госучреждений и компаний под санкциями США. В начале июня 2026 года некоммерческий удостоверяющий центр Let's Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, внёс изменение в пользовательское соглашение, определяющее права и обязанности получателей SSL-сертификатов. В секцию с условиями запроса и использования сертификатов был добавлен пункт, не допускающий выдачу сертификатов для физических лиц и организаций, постоянно проживающих или зарегистрированных в странах или на территориях, на которые распространяются полномасштабные (comprehensive) санкции США.

В Минцифры сообщило, что при отзыве зарубежных SSL-сертификатов некоторые российские сайты могут некорректно открываться в иностранных браузерах (Google Chrome, Safari, Edge), а соединение с различными сервисами может отображаться как небезопасное. Чтобы сохранить защищённый доступ к российским сайтам, онлайн‑магазинам, банкам, маркетплейсам и другим ресурсам, в ведомстве рекомендуют установить сертификаты безопасности Минцифры.

В июне 2026 года Минцифры пояснили, что в случае отзыва международных сертификатов безопасности у российских владельцев сайтов в интернете есть возможность оперативно (срок исполнения — 3 рабочих дня) и бесплатно получить российские после подачи заявления на Едином портале государственных и муниципальных услуг (Госуслуги). Речь идёт о TLS-сертификатах типов DV и OV, которые обеспечивают защищённое соединение между пользователем и сайтом.