Отзыв SSL-сертификатов у российских банков: почему браузеры блокируют онлайн-банк и как это обойти

Поиск Яндекса начал показывать плашки-предупреждения: сайт вашего онлайн-банка может не открыться в браузере, а причина указана прямо, отзыв SSL-сертификатов. Предупреждения выводятся по запросам про конкретные банки: Альфа-Банк, ВТБ, Сбер, Россельхозбанк, ПСБ, Уралсиб «и ещё десяток других». Chrome, Safari, Edge и Opera считают эти сайты небезопасными и не открывают их без дополнительных настроек. А в Яндекс Браузере те же самые сайты работают стабильно. Дело в доверии браузера к сертификату, сам банк тут ни при чём. Ниже: как это устроено, четыре способа зайти в онлайн-банк, когда браузер ругается на сертификат, и честный разбор, спасёт ли VPN.

Почему банк открывается в Яндексе, но не в Chrome

Когда вы заходите на сайт по https, браузер проверяет TLS-сертификат: кто его выпустил и можно ли этому выпускающему верить. У каждого браузера свой встроенный список доверенных корневых центров сертификации. Сертификат подписан центром из этого списка, замочек зелёный, страница открывается молча. Центра в списке нет, вы видите красный экран «Подключение не защищено» и код вроде NET::ERR_CERT_AUTHORITY_INVALID.

Именно это сейчас и происходит. Сайты банков живы и исправны, SSL-сертификаты на них настоящие, а Chrome, Safari, Edge и Opera не считают выпустивший их центр доверенным. Яндекс Браузер (и родственный ему Atom) этот центр в своём списке держит. Отсюда и разница, которую зафиксировал источник: одна и та же ссылка в одном браузере открывается, в другом ругается на безопасность.

Отзыв SSL-сертификатов, санкции и Минцифры

Корень истории санкционный. Зарубежные удостоверяющие центры (DigiCert, GlobalSign, Sectigo и другие) перестали выпускать и продлевать TLS-сертификаты для подсанкционных российских банков. У сертификата есть срок годности; когда старый истекает, а новый западный центр выдать отказывается, банку нужен другой поставщик подписи. Так и возникает отзыв SSL-сертификатов, из-за которого браузер перестаёт открывать онлайн-банк.

Ответ был готов заранее: Минцифры создало национальный удостоверяющий центр (НУЦ) и корневой сертификат Russian Trusted Root CA. Он бесплатный, банки и госсайты получают его через Госуслуги, с точки зрения шифрования он полноценный. Проблема одна: глобальные браузеры не включают российский корень в список доверенных по умолчанию. Технически сайт защищён, но браузер об этом «не знает» и честно предупреждает вас, что подпись ему незнакома.

Это не геоблокировка и не блокировка сайта. Ничего не «упало» и никто вам доступ не закрывал, вопрос в доверии к сертификату на вашем собственном устройстве. Отсюда и практический вывод: либо научить браузер доверять российскому корню, либо зайти в онлайн-банк в обход браузера.

Что такое Russian Trusted Root CA и стоит ли ему верить

Russian Trusted Root CA это корневой сертификат Минцифры, замена западным подписям для российских сайтов. Установка такого корня означает, что ваше устройство начнёт доверять подписям этого центра. Вопрос безопасности здесь резонный, и ответ честный: корневой сертификат в теории даёт выпустившему его центру техническую возможность подписать сертификат для любого домена. Ставить любые корневые сертификаты подряд, плохая идея.

На практике для доступа к онлайн-банку риск ограничен: вы и так собираетесь общаться со своим банком, а трафик остаётся зашифрованным. Разумный компромисс: ставить государственный корень осознанно и только если вам нужен доступ через глобальный браузер. Тем, кого сама идея смущает, проще обойтись без установки, способы ниже это позволяют.

Четыре способа зайти в онлайн-банк, когда браузер ругается на сертификат

1. Установить Russian Trusted Root CA вручную

Официальный способ. Сертификат скачивается с Госуслуг, дальше действия зависят от системы:

1. Windows: откройте скачанный файл, выберите «Установить сертификат» → «Локальный компьютер» → хранилище «Доверенные корневые центры сертификации».
2. Android: Настройки → Безопасность → Шифрование и учётные данные → Установка сертификата → Сертификат ЦС, затем выберите файл.
3. iOS/iPhone: откройте профиль, установите его в Настройках, а затем включите полное доверие в разделе «Об этом устройстве» → «Доверие сертификатам». Без этого шага корень не заработает.
4. macOS: добавьте сертификат в «Связку ключей» и вручную выставьте «Всегда доверять».
5. Linux: положите файл в системное хранилище доверенных корней и обновите базу сертификатов.

После установки Chrome, Edge и Opera обычно перестают ругаться, ошибка сертификата исчезает. Safari берёт доверие из системной связки ключей macOS/iOS, поэтому шаг с «полным доверием» для него критичен.

2. Пересесть на Яндекс Браузер или Atom

Самый быстрый вариант без единой настройки. Оба браузера доверяют российскому корню из коробки, поэтому в источнике сайты банков в Яндекс Браузере открываются нормально. Скачали, зашли, всё работает. Минус: придётся держать отдельный браузер под банковские дела, если основным у вас остаётся Chrome или Safari.

3. Использовать мобильное приложение банка

Приложения банков часто работают независимо от браузерного доверия, они проверяют SSL-сертификаты по своей логике. Загвоздка в том, что многие банковские приложения убрали из App Store и Google Play, и встаёт вопрос установки: сайдлоад или официальные ссылки с сайта банка. У Android с этим проще (можно поставить apk), у iPhone сложнее.

4. Проверить домен банка

Иногда банк держит несколько доменов, и часть из них ещё работает на старых, признаваемых сертификатах. Если основной адрес ругается, поищите на первой странице выдачи или в приложении альтернативную ссылку для входа, бывает, что она открывается без всяких плясок с сертификатами.

VPN не спасёт от ошибки сертификата, но нужен в других задачах

Если браузер показывает ошибку сертификата, включение VPN эту ошибку не уберёт. Проблема в доверии устройства к сертификату, маршрут до сайта тут ни при чём. VPN меняет ваш IP и шифрует трафик, но не заставит Chrome поверить незнакомому корню. Статья, которая обещает «просто включите VPN, и банк откроется», вводит в заблуждение.

Где VPN помогает, так это в смежных задачах. Банковское приложение убрали из App Store, а скачать его нужно из зарубежного магазина. Вы в поездке, и российские сервисы капризничают из-за региона. Вы сидите в публичном Wi-Fi в кафе или аэропорту, где чужой трафик перехватить проще всего. Здесь VPN или личный VPS закрывают реальную потребность, как дополнение к установке сертификата, а не замена ей. Если такие сценарии про вас, Sigma помогает с доступом и защитой трафика.

Коротко: что делать прямо сейчас, если онлайн-банк не открывается

Банк не открывается в Chrome или Safari? Сайт при этом исправен. Быстрее всего открыть его в Яндекс Браузере. На будущее правильнее установить Russian Trusted Root CA с Госуслуг под вашу систему, а для повседневных операций удобнее приложение банка. VPN держите под скачивание приложений из-за рубежа и защиту в чужих сетях, на ошибку сертификата он не влияет.

Частые вопросы

Это навсегда или SSL-сертификаты скоро вернут?

Пока западные центры отказываются выпускать сертификаты подсанкционным банкам, ситуация сохраняется. Российские банки перешли на отечественный корень, так что решать вопрос доверия придётся на стороне пользователя.

Безопасно ли ставить государственный сертификат?

Сам трафик остаётся зашифрованным. Риск в том, что корневой центр технически может подписать сертификат для любого домена, поэтому ставьте Russian Trusted Root CA осознанно и только если нужен доступ через глобальный браузер.

Почему в Яндекс Браузере всё работает?

Яндекс Браузер и Atom включают Russian Trusted Root CA в список доверенных по умолчанию, поэтому не показывают предупреждений об отзыве SSL-сертификатов на сайтах банков.

Источники

Канал @exploitex: о плашках Яндекса про недоступность онлайн-банков в браузерах