Сертификат не сошёлся: сайты банков выпали из браузеров

Пользователи столкнулись с предупреждениями о небезопасном соединении при открытии сайтов ВТБ, Сбера, Альфа-Банка, Россельхозбанка, ПСБ, «Уралсиба», банка «Санкт-Петербург» и некоторых других организаций.

Проблема проявлялась не у всех одинаково. РБК подтвердил ошибки при открытии сайта ВТБ и его веб-приложения в зарубежных браузерах. Во время другой проверки сайт Сбера не открылся в Chrome, но оставался доступен через Edge и Safari. Результат зависел от банка, браузера, операционной системы и наличия установленного сертификата.

Сайты банков используют протокол TLS — его по привычке часто называют SSL. Он шифрует обмен данными и помогает убедиться, что пользователь подключился к настоящему сайту, а не к поддельной странице.

Проверка строится через цепочку доверия. Сертификат банковского сайта подписывает удостоверяющий центр, его сертификат связан с корневым сертификатом. Последний должен находиться в доверенном хранилище браузера или операционной системы.

Если корневого сертификата в хранилище нет, браузер не может подтвердить всю цепочку и показывает предупреждение. Это не специальная блокировка российских банков со стороны Chrome, Edge или Safari. Браузер отклоняет сертификат неизвестного ему удостоверяющего центра — такой же механизм действует для любого сайта. Chrome использует собственную программу корневых сертификатов, Edge опирается на хранилище Microsoft, а устройства Apple — на набор доверенных корней Apple.

Сертификат Национального удостоверяющего центра Минцифры не добавлен в эти списки по умолчанию. После перехода банка на российскую цепочку браузер без дополнительной настройки может счесть соединение недоверенным.

Минцифры ещё 23 июля предупредило, что российские сайты могут некорректно открываться в Chrome, Safari и Edge после отзыва сертификатов иностранными удостоверяющими центрами. Ведомство рекомендовало установить сертификаты НУЦ или пользоваться браузером, который уже им доверяет.

В июне появились сообщения о принудительном отзыве части сертификатов GlobalSign, выданных российским организациям. Отозванный сертификат перестаёт считаться действительным: браузер получает информацию об аннулировании через списки отзыва или протокол проверки статуса и может заблокировать соединение.

Это не означает, что сертификаты всех перечисленных банков одновременно отозвали 3 августа. Часть организаций готовила переход заранее. Сбер начал переводить отдельные сервисы на сертификаты НУЦ ещё в 2022–2023 годах, а ВТБ давно публикует инструкции по их установке. Массовые жалобы появились, когда российская цепочка стала использоваться на большем числе банковских страниц.

Яндекс Браузер доверяет сертификатам Национального удостоверяющего центра. Разработчик указывает, что браузер проверяет принадлежность домена и продолжает блокировать отозванные или некорректные сертификаты. Поддержка НУЦ не означает, что программа принимает любой российский сертификат без проверки.

Поддержка отечественных сертификатов заявлена и в браузере «Атом». Пользователь также может сохранить привычный браузер, самостоятельно установив корневой и выпускающий сертификаты Минцифры с официальной страницы «Госуслуг».

На iPhone простой загрузки профиля недостаточно. После установки корневого сертификата пользователь должен отдельно включить полное доверие для SSL в настройках iOS. Apple указывает, что сертификаты из профилей, установленных вручную, не получают такое доверие автоматически.

Firefox в основных сообщениях Минцифры и российских СМИ не фигурировал. Он тоже может отклонить цепочку, если не знает корневой сертификат. Начиная с версии 120 браузер умеет автоматически доверять сторонним корневым сертификатам, добавленным в системное хранилище, поэтому после правильной установки сертификата поведение может отличаться от старых версий.

Некоторые браузеры позволяют открыть страницу через кнопку «Дополнительно». Делать это перед входом в интернет-банк опасно. Такое же предупреждение появляется при настоящей подмене сайта, просроченном сертификате или неправильной настройке сервера.

Корневой сертификат нужно скачивать только с официальной страницы «Госуслуг» либо переходить к инструкции с сайта самого банка. Файл из Telegram, электронной почты или неизвестного сайта устанавливать нельзя. Корневой сертификат даёт широкие полномочия в системе доверия, поэтому подмена такого файла создаёт риск перехвата защищённых соединений.

VPN эту проблему обычно не решает. Он меняет маршрут сетевого трафика, но не добавляет недостающий корневой сертификат в хранилище браузера.

Российская операционная система, например, «Аврора» позволяет владельцу платформы самостоятельно управлять набором доверенных сертификатов. Документация «Авроры» предусматривает установку дополнительных сертификатов, в том числе через систему централизованного управления устройствами. В 2025 году ОС добавила доверие к TLS-сертификатам российского центра сертификации ТЦИ.

Собственная мобильная платформа также снижает зависимость от решений Apple и Google: её разработчик может самостоятельно обновить хранилище сертификатов, магазин приложений и механизмы проверки программ. Полной неуязвимости это не даёт. Работа сервисов всё равно зависит от обновлений безопасности, браузерного движка, аппаратной платформы, серверов и сторонних компонентов.

Google Play Защита проверяет приложения, установленные из Google Play и сторонних источников. Система может предупредить об угрозе, заблокировать установку, отключить или удалить программу, которую Google признал вредоносной. Проверка APK или приложения из стороннего магазина возможна на устройствах с сервисами Google и включённой Play Защитой.

Установка через RuStore или напрямую из APK сама по себе не исключает такую проверку. Play Защита отсутствует на устройствах без сервисов Google, а её параметры зависят от конкретной версии системы и настроек пользователя.

Для доступа к банковскому сайту можно использовать актуальный Яндекс Браузер или «Атом». Второй вариант — установить сертификаты НУЦ с официальной страницы «Госуслуг» и выполнить инструкцию для своей операционной системы.

На iPhone потребуется установить профиль, а затем вручную включить доверие к корневому сертификату. Пользователям также доступны официальные мобильные приложения банков, если организация продолжает их поддерживать на конкретном устройстве.

Вопросы и ответы

Российские банки действительно перестали работать?

Нет. Ошибки затронули сайты, веб-версии интернет-банков и отдельные страницы. Банковские счета, карты, серверы и мобильные приложения не отключались. ВТБ подтвердил, что продукты и услуги остаются доступными.

Зарубежные браузеры специально заблокировали банки?

Нет. Chrome, Edge и Safari не смогли подтвердить цепочку до доверенного корневого сертификата. Такой же механизм срабатывает при открытии любого сайта с неизвестным удостоверяющим центром.

Почему проблема возникла именно сейчас?

Иностранные удостоверяющие центры начали отзывать сертификаты части российских организаций. Банки ускорили переход на сертификаты НУЦ Минцифры, которых нет в стандартных хранилищах зарубежных браузеров.

Какие банки столкнулись с ошибками?

Сообщения касались ВТБ, Сбера, Альфа-Банка, Россельхозбанка, ПСБ, «Уралсиба», банка «Санкт-Петербург» и банка «Дом.РФ». Доступность различалась в зависимости от браузера и устройства.

Почему Яндекс Браузер открывает эти сайты?

В него встроено доверие к сертификатам Национального удостоверяющего центра. Браузер при этом продолжает проверять срок действия сертификата, домен и статус отзыва.

Как открыть сайт банка в Safari на iPhone?

Нужно скачать сертификаты с официальной страницы «Госуслуг», установить профиль и вручную включить полное доверие для SSL в системных настройках.

Возникнут ли ошибки в Firefox?

Возможны, если корневой сертификат не установлен. Современные версии Firefox умеют использовать сторонние корневые сертификаты из системного хранилища, поэтому после установки сертификата НУЦ сайт может открыться без отдельной настройки браузера.

Поможет ли VPN?

Обычно нет. VPN меняет маршрут соединения, но не добавляет сертификат Минцифры в доверенное хранилище устройства.

Решает ли проблему ОС «Аврора»?

ОС позволяет управлять доверенными сертификатами и устанавливать их централизованно. При этом нет публичного подтверждения, что сертификаты банковского НУЦ Минцифры встроены по умолчанию во все версии «Авроры». Подтверждена поддержка сертификатов другого российского центра — ТЦИ.

Может ли Google удалить приложение из RuStore?

Google Play Защита может проверить, заблокировать или удалить приложение из стороннего источника, если признает его вредоносным. Это относится к устройствам с сервисами Google и включённой защитой.

Удаляет ли Google российские приложения автоматически?

Доказательств такой политики нет. Официально блокировка и удаление связаны с обнаружением вредоносного поведения, а не со страной разработчика.