Российский сегмент интернета под угрозой: GlobalSign отзывает сертификаты у десятков тысяч сайтов

GlobalSign начал поэтапно отзывать TLS-сертификаты, выпущенные российским организациям. Первая волна началась 13 июня 2026 года, вторая — 18 июня. После отзыва браузер или корпоративное ПО может показать предупреждение, а в отдельных конфигурациях полностью закрыть соединение.

Владельцам сайтов и приложений нужно проверить не только основной домен. Сертификаты могут обслуживать поддомены, API, личные кабинеты и мобильные приложения, где сбой не всегда заметен при обычном просмотре сайта.

Что происходит после отзыва сертификата

TLS-сертификат подтверждает подлинность сайта и участвует в создании зашифрованного HTTPS-соединения. Удостоверяющий центр публикует сведения об отзыве через предусмотренные отраслевыми правилами механизмы. Браузеры и другое клиентское ПО проверяют статус сертификата и решают, разрешать ли соединение.

В уведомлении партнёрам российское представительство GlobalSign связало решение с санкционными ограничениями и требованиями CA/Browser Forum. Последствия зависят от программы и её настроек:

• Браузеры. Chrome, Safari или Firefox могут показать предупреждение о недоверенном соединении либо не открыть страницу.
• Корпоративное ПО. Защитные шлюзы и приложения с жёсткими политиками проверки способны заблокировать обращение к сервису.
• Мобильные приложения. При привязке к конкретному сертификату через Certificate Pinning может потребоваться новая версия приложения с обновлёнными параметрами доверия.

Эксперт по интернет-инфраструктуре и веб-безопасности Андрей Баширов предупреждает: отзыв сертификата способен вызвать не только окно в браузере, но и полный отказ доступа со стороны корпоративного ПО.

Масштаб проблемы и действия владельцев сервисов

Минцифры оценило долю GlobalSign в российском сегменте интернета не более чем в 5%. Astra Cloud приводила оценку до 90% для более узкой выборки — коммерческих зарубежных сертификатов, используемых в России. Расхождение связано с разными сегментами рынка, поэтому сравнивать проценты напрямую нельзя.

В первых оценках участников рынка фигурировали 15–20 тысяч доменов второго уровня. С учётом поддоменов число затронутых узлов может быть выше. Во второй волне отзыва проблемы фиксировали у сайтов крупных компаний и банков, которым пришлось оперативно менять сертификаты.

Проверку лучше проводить по короткому плану:

1. Собрать список доменов, поддоменов, API и внутренних адресов, где используется сертификат GlobalSign.
2. Подготовить замену с полной цепочкой доверия и учесть браузеры, операционные системы и корпоративные клиенты аудитории.
3. До переключения проверить сайт, API, мобильные приложения и сценарии с Certificate Pinning.
4. После замены контролировать HTTPS-ошибки, сроки действия и статус сертификатов во всех точках входа.

Минцифры предлагает сертификаты Национального удостоверяющего центра для российских информационных систем. Для публичного международного сайта удостоверяющий центр выбирают с учётом доверия в браузерах и устройствах реальной аудитории.

Похожий сценарий уже затрагивал сайты банков. Подробности собраны в материале о блокировках после отзыва сертификатов.

Источники: iXBT, РБК, CA/Browser Forum.