Что случилось

Сначала убедитесь, что вы попали по адресу. В Chrome и Edge на экране будет «Подключение не защищено» и код ошибки NET::ERR_CERT_AUTHORITY_INVALID, в Safari — «Это соединение не является частным». Если у вас другой текст ошибки, причина, скорее всего, не в сертификатах, и эта статья не про ваш случай.

Теперь по сути. Зарубежные удостоверяющие центры стали отзывать сертификаты у российских сайтов. Сертификат — это то, чем сайт подтверждает браузеру, что он действительно тот, за кого себя выдаёт.

Ещё 23 июля Минцифры предупреждало: при отзыве зарубежных сертификатов российские сайты могут некорректно открываться в Chrome, Safari, Edge и других иностранных браузерах, а соединение будет показываться как небезопасное. Через неделю, 29 июля, отозвали сертификат у Альфа-Банка. К 3 августа это заметили уже все.

Банки к такому повороту готовились и переехали на сертификаты Национального удостоверяющего центра Минцифры. Проблема в том, что Chrome, Safari и Edge про этот центр ничего не знают — в их списке доверенных его нет. Отсюда и предупреждение.

Под раздачу попали Сбер, ВТБ, Альфа-Банк, Промсвязьбанк, Россельхозбанк, Уралсиб, банк «Санкт-Петербург» и Банк ДОМ.РФ.

Переезд, как видите, шёл волнами с начала лета. А к 3 августа новые сертификаты заработали у большинства крупных банков разом — тогда проблему и увидели все сразу.

Дальше начинается путаница, из-за которой люди спорят в комментариях. Сломалось не у всех и не везде.

Т-Банк на новом адресе tbank.ru сидит на международном сертификате Let’s Encrypt и открывается в любом браузере как ни в чём не бывало — а вот старый tinkoff.ru уже переведён на Минцифры. У Сбера наоборот: главная страница на российском сертификате, а вход в интернет-банк по адресу online.sberbank.ru до сих пор подписан американским центром SSL.com и открывается нормально. Газпромбанк вообще остался на прежнем зарубежном сертификате: отзыв шёл точечно, по отдельным адресам, а не одним махом по всем.

Отсюда и истории в духе — у соседа работает, а у меня нет. Причин две: сосед может сидеть в другом браузере, а может открывать другую страницу того же банка. Ломается не банк целиком, а один адрес в одном браузере.

Похожая история была в июне, когда приложения VK пропали из App Store — скачать и обновить их стало нельзя. Разбор той ситуации — здесь.

Почему браузер показывает предупреждение

Предупреждение пугает сильнее всего тем, что непонятно, чего именно испугался браузер. А испугался он одной-единственной вещи.

Представьте вахтёршу с журналом на проходной. Она пропускает не по красоте корочки, а по знакомой печати: печать в списке — заходите, печати в списке нет — стойте здесь, я вас не знаю. Спорить бесполезно, даже если вы и правда работаете в этом здании.

Браузер устроен так же. Внутри него зашит список удостоверяющих центров, которым он доверяет. Центра Минцифры в этом списке у Chrome и Safari нет, поэтому браузер прямо говорит: подтвердить личность не могу.

Здесь важно понять, что именно проверяется. Браузер не сообщает, что сайт плохой, взломанный или заражённый — он вообще не умеет оценивать сайты. Он проверяет одно: знаком ли ему тот, кто подписал документ.

Канал в это время зашифрован. Но и тут есть тонкость, из-за которой предупреждение — не формальность: раз браузер не может подтвердить, кто на другом конце, он не гарантирует и что провод идёт именно до банка. Если на том конце окажется не банк, шифрование не спасёт — данные уедут в закрытом виде прямо к тому, кто подставился вместо него.

Кнопка «всё равно перейти» в браузере есть, но на сайте банка ей пользоваться не надо. Это ровно та страница, где следом вы вводите логин, пароль и код из СМС, а браузер именно в этот момент не может поручиться, что перед вами банк. Способов зайти нормально ниже целых три — обходной путь просто не нужен.

Способ первый: открыть в Яндекс Браузере

Самый быстрый вариант, где ничего не надо настраивать. Яндекс Браузер российским сертификатам доверяет, поэтому сайты банков в нём открываются без единого лишнего движения. Работает и на компьютере, и на смартфоне.

Скачивайте только с browser.yandex.ru, а на телефоне — из App Store, RuStore или Google Play. Это важнее, чем кажется: искать браузер через поиск сейчас опасно, поддельные страницы с установщиками лезут в выдачу особенно активно. После установки настраивать нечего, просто откройте сайт банка.

На странице Минцифры про сертификаты безопасности, в списке браузеров с поддержкой российских сертификатов, стоит одна-единственная ссылка — на Яндекс Браузер. Других вариантов там нет.

И сразу предупрежу, потому что советы в интернете отстают от жизни. По статьям до сих пор кочует браузер «Атом» от VK — его действительно делали с оглядкой на российские сертификаты. Но проект закрыт: разработку свернули ещё в сентябре 2024 года, в RuStore приложение помечено как недоступное для скачивания, последняя версия там от октября 2023-го. Ставить сегодня заброшенный браузер, который два года не получает обновлений безопасности, и ходить в нём в банк — плохая идея. Браузер «Спутник» от Ростелекома тоже не вариант: от него рекомендовали отказаться после того, как домен обновлений перешёл в чужие руки.

Способ второй: поставить сертификаты вручную

Этот путь для тех, кто не хочет уходить из привычного браузера. Сертификаты лежат на Госуслугах по адресу gosuslugi.ru/crt — и брать их надо только оттуда, об этом отдельный разговор ниже.

Сертификатов нужно два вида. Корневой Russian Trusted Root CA — главный, он подтверждает сам центр. И выпускающий Russian Trusted Sub CA — им подписаны конкретные сайты. Поставите только первый — работать не будет, и это самая частая причина неудачи. На компьютере и Android они скачиваются разными архивами, внутри каждого лежит по несколько файлов разных лет и алгоритмов: ставьте все, лишними они не будут. Владельцам iPhone проще — там всё упаковано в один файл-профиль.

Тем, кто ставил сертификаты ещё пару лет назад: удалять старые не надо, но и одних их уже мало. На Госуслугах просят доустановить новые корневые и выпускающие поверх имеющихся.

Windows

Распакуйте архивы и откройте первый файл двойным щелчком. В появившемся окне нажмите «Установить сертификат», выберите «Текущий пользователь» и на следующем шаге — «Поместить все сертификаты в следующее хранилище».

Дальше внимательно: корневой Russian Trusted Root CA кладут в хранилище «Доверенные корневые центры сертификации», а выпускающий Russian Trusted Sub CA — в «Промежуточные центры сертификации». Windows покажет предупреждение о том, что вы добавляете новый корневой центр, — это нормальная реакция системы, соглашайтесь. Затем закройте браузер целиком и откройте заново.

macOS

Откройте скачанный файл — запустится программа «Связка ключей», и сертификаты появятся в разделе «Сертификаты».

Найдите Russian Trusted Root CA, щёлкните по нему дважды и раскройте блок «Доверие». В строке «При использовании этого сертификата» поставьте «Всегда доверять». Закройте окно, введите пароль от учётной записи Mac и подтвердите. То же самое повторите для Russian Trusted Sub CA — без второго шага Safari продолжит ругаться.

iPhone и iPad

Здесь установка сложнее всего — она идёт в два приёма, а про второй нигде толком не написано.

Сначала откройте страницу сертификатов на Госуслугах именно в Safari — это принципиально. В другом браузере вместо файла вы увидите экран с набором непонятных символов, а если открыть страницу внутри приложения «Госуслуги», ничего не скачается. Из приложения надо выйти.

Скачайте профиль, разрешите загрузку и сразу идите его устанавливать: если потянуть время, iPhone удалит скачанный профиль сам. Зайдите в «Настройки» — сверху появится строка «Профиль загружен». Откройте её, нажмите «Установить», введите код-пароль и подтвердите.

Дальше второе действие, без которого всё было зря. Пройдите в «Настройки» → «Основные» → «Об этом устройстве» → «Доверие сертификатам» и включите переключатель напротив Russian Trusted Root CA. Появится оповещение про корневой сертификат — нажмите «Дальше». Если корневых сертификатов установилось несколько, доверие включают для каждого.

Если раздела «Доверие сертификатам» в настройках вообще нет — значит профиль не установился. Apple показывает этот пункт только когда в системе есть хотя бы один добавленный вручную сертификат.

Android

Точный путь зависит от версии системы и оболочки производителя, но логика везде одна: «Настройки» → «Безопасность» → «Другие параметры безопасности» или «Шифрование и учётные данные» → «Установка сертификатов» → «Сертификат ЦС». Дальше выбираете скачанный файл из папки «Загрузки».

Система предупредит, что установка стороннего сертификата снижает безопасность. Для файла с Госуслуг это ожидаемое предупреждение. Если нужного пункта в настройках не находится, вбейте в поиск по настройкам слово «сертификат» — на большинстве оболочек это выводит прямо на нужный экран.

Приложение банка: обновите — и забудьте

В большинстве случаев приложения работают как работали: банки подготовились и зашили нужный сертификат прямо внутрь программы. Списка доверенных центров из браузера ей не требуется — она носит сертификат с собой. Россельхозбанк пишет об этом прямым текстом: новые версии приложения уже содержат сертификаты НУЦ Минцифры. То же самое сообщают Т-Банк и банк «Санкт-Петербург».

Ключевое слово здесь — новые версии. Если приложение давно не обновлялось, сертификата внутри может не оказаться, и оно упрётся в ту же стену, что и сайт. В дни переезда часть жалоб пришлась именно на приложения: у ВТБ и Альфа-Банка люди сообщали о сбоях и там.

На Android приложение обновляется через RuStore или Google Play. А вот владельцам iPhone стоит знать заранее: приложений Сбера, ВТБ и Альфы в App Store нет, обновить их оттуда не получится. Если приложение перестало пускать, остаются два пути из этой статьи — Яндекс Браузер или установка сертификатов.

Идеальный момент для мошенников

Ситуация для обмана сложилась удачная — не для нас с вами. Тысячи людей одновременно увидели пугающее предупреждение и пошли искать, что бы такое установить. Дальше по накатанной: сообщения в мессенджерах и на почту в духе «ваш банк сменил сертификат, установите обновление безопасности по ссылке».

Корневой сертификат — не обычный файл. Установив его, вы говорите компьютеру: всему, что подписано этой конторой, верь безоговорочно. Если контора чужая и недобросовестная, она сможет подсовывать вам поддельные страницы вместо настоящих, и браузер не пикнет — вы же сами разрешили ей верить.

Схема та же, что и в звонках от мнимой службы безопасности банка: сначала напугать, потом на волне испуга попросить что-то сделать. Как отсекать такие звонки на подлёте, мы писали в материале Как заблокировать спам-звонки на телефоне.

Не помогло — что проверить

Если сертификаты установлены, а предупреждение никуда не делось, пройдитесь по короткому списку.

Проверьте, установились ли сертификаты обоих видов — пропущенный выпускающий и есть та самая частая причина. Вторая по частоте, и только на iPhone, — не включён переключатель доверия.

Браузер надо закрыть полностью, а не просто прикрыть вкладку: на компьютере это значит выйти из программы совсем, иначе старые настройки останутся в памяти.

Если вы в Firefox — вернитесь к врезке выше, у него отдельные правила, а на Android он системные сертификаты не видит вовсе.

И проверьте, тот ли адрес открывается. Настоящий сайт банка вы найдёте в приложении или по номеру на банковской карте — не по ссылке из поисковой выдачи и тем более не из сообщения. Поддельные страницы банков сейчас лезут в поиске особенно активно. Если вдобавок не приходит СМС с кодом, причина обычно другая и разбирается отдельно: Почему не приходят СМС с кодом.

Напоследок скажу, что думаю сам. Если веб-банком вы пользуетесь пару раз в месяц — не лезьте в систему вообще: поставьте Яндекс Браузер и забудьте. Копаться в хранилище сертификатов имеет смысл только тем, кто сидит в интернет-банке каждый день. А обновить приложение стоит прямо сейчас, не откладывая, — это те две минуты, которые избавят от всей истории целиком.

Расскажите про статью тем, у кого банк тоже перестал открываться. И заходите в наш канал в Telegram, Дзене и MAX — там анонсы новых материалов.