Массовый отзыв SSL-сертификатов: как защитить публичные сервисы и мобильные клиенты ритейла
По данным «Руцентра» и ТЦИ, с июля 2026 года иностранные удостоверяющие центры отозвали 10 974 SSL/TLS-сертификата у примерно 1,3 тыс. российских компаний, и в ноябре ожидается новая волна от GlobalSign. Для ритейла это означает прямую угрозу доступности интернет-магазинов, личных кабинетов, B2B-порталов и API для кассовых и логистических систем, а также риски для мобильных приложений, которые используют certificate pinning или строгую валидацию цепочки доверия.
Что произошло
Иностранные удостоверяющие центры продолжают массовый отзыв сертификатов: лидируют GlobalSign (4 830), HARICA (3 456) и Actalis (930). Только в октябре отозвано 108 сертификатов, включая 24 wildcard, что особенно болезненно для крупных витрин с десятками поддоменов (www, api, cdn, payment, oms). Поводом становятся санкции, жалобы третьих лиц и ошибки проверки, поэтому вне «санкционных списков» гарантий нет. Публичные реестры отозванных доменов дополнительно подсвечивают ландшафт целей для злоумышленников, а 14% затронутых доменов находятся вне зоны .ru, что расширяет периметр риска. Комментируя ситуацию, «Яндекс Браузер» указывает на расширение применения сертификатов НУЦ Минцифры как способ сохранить стабильный доступ пользователей; браузер уже поддерживает отечественные корневые сертификаты «из коробки».
Для ИТ-руководителя ритейла это не только «веб-история». Массовый отзыв ломает TLS-цепочку на сайтах, в CDN и WAF, обрывает защищённые каналы мобильных SDK (логины, пуши, платежи), а также интеграционные стыки с эквайрингом, ОФД, маркетплейсами и 1С/ERP. Если приложение реализует pinning на отпечатки промежуточных УЦ, внезапная замена цепочки приводит к отказу TLS-рукопожатия и падению конверсии.
Почему это важно
Ритейл критически зависит от непрерывности HTTPS на витрине, в кабинете покупателя и в сервисном API. Wildcard-отзыв мгновенно бьёт по всему поддоменному ландшафту: статика, медиа, вебвью в приложении, вебхуки. Отдельная зона риска — мобильные клиенты. Когда приложение «жёстко» пришито к промежуточному УЦ, смена выпуска (например, из-за экстренного перевыпуска на другой УЦ) ломает установку TLS; пользователи видят «не удалось установить защищённое соединение», а бэкенд фиксирует всплеск 525/526 ошибок на Cloudflare-подобных прокси. Публичность данных об отзывах помогает атакующим приоритизировать цели: витрина с трафиком, кабинет программы лояльности, B2B-кабинет поставщика — всё это видно по доменной зоне и поддоменам.
С точки зрения compliance и устойчивости, массовый переход на отечественные сертификаты НУЦ Минцифры — прагматичный путь. Он снижает зависимость от иностранных УЦ и согласуется с позицией «Яндекс Браузера», где поддержка отечественных корневых сертификатов уже реализована. Для внутренних сервисов (MDM, порталы сотрудников, SCIM/SSO) это тем более целесообразно: вы контролируете парк устройств и можете централизованно доставить корневой сертификат. В сценарии смешанного парка (Android + Aurora OS) единая корневая политика уменьшает фрагментацию доверия и упрощает аудит.
Что делать
Сформируйте единый план реагирования на уровне «публичный периметр — инфраструктура — мобильные клиенты — MDM». Ниже — конкретные шаги, которые можно запускать немедленно.
- Инвентаризация и мониторинг. Соберите полный реестр публичных FQDN и wildcard-зон, отметьте владельцев и SLA. Включите внешний мониторинг OCSP/CRL и CT-логов; заведите алерты на события CACTI/precert и revoked. Проверьте сроки окончания оставшихся сертификатов и наличие HSTS/preload — это влияет на окно замены.
- Перевыпуск и диверсификация. Для критичных витрин подготовьте план «двух УЦ»: держите готовый пакет CSR/ключей для альтернативного центра (включая НУЦ Минцифры). Если используете CDN/WAF, заранее согласуйте процедуру загрузки новых цепочек и перезапуска edge, чтобы избежать рассинхрона сертификатов на узлах.
- Управление поддоменами. При отказе от wildcard перейдите на multi-SAN или автоматизированный ACME с покрытием всех поддоменов. Проверьте, не «зашиты» ли в коде, вебвью и SDK жёсткие отпечатки промежуточных УЦ; если да — подготовьте хотфикс релиза с параметризованным pinning и списком запасных отпечатков.
- Мобильные приложения и SDK. Для Android реализуйте Network Security Configuration с резервными pin-set и expiration; задайте cleartextTrafficPermitted="false" и минимальную версию TLS 1.2. Пример базового network-security-config.xml:
- <base-config cleartextTrafficPermitted="false"><trust-anchors><certificates src="system" /><certificates src="@raw/ca_bundle" /></trust-anchors></base-config>
- <domain-config cleartextTrafficPermitted="false"><domain includeSubdomains="true">yourshop.ru</domain><pin-set expiration="2028-12-31"><pin algorithm="SHA-256">BASE64...=</pin></pin-set></domain-config>
Подготовьте ca_bundle с НУЦ Минцифры и альтернативным УЦ; храните отпечатки в ресурсах, обновляйте через релизы и feature-flag. Для критичных путей (логин, платежи) включите повторные попытки с экспоненциальной задержкой и «мягкую» деградацию (кешированные каталоги без медиа).
- Доставка корневых сертификатов в парк. В MDM сформируйте профиль Credential/Certificate с корневым сертификатом НУЦ Минцифры (формат PEM/DER) и назначьте его на устройства Android Enterprise (Profile Owner) и Aurora OS. Для совместимости старых версий Android (ниже 7.0) предусмотрите обновление системных корневых хранилищ через OEM-пакет, если бизнес-политика требует поддержки legacy.
- Внутренние порталы и API. Переведите MDM, SCIM/SSO, BI и порталы сотрудников на сертификаты НУЦ Минцифры; включите OCSP Stapling и TLS 1.2+, отключите слабые шифры. Для SCIM и SAML проверьте metadata на соответствие новой цепочке; обновите подписи и endpoints в IDP/SP синхронно.
- Операционная готовность. Подготовьте «однокнопочный» плейбук: перевыпуск через ACME, деплой цепочки в CDN/WAF, обновление pin-set в мобильном релизе, пуш профиля сертификата через MDM. Прогоните game day: отзыв тестового wildcard на стенде, переключение на НУЦ, проверка вебвью в приложении, прохождение платежей в тестовой среде.
- Коммуникации и поддержка. Обновите FAQ для покупателей: что делать, если сайт «не открывается» на старых устройствах (инструкции по установке корневого сертификата НУЦ). Для корпоративных клиентов подготовьте краткий security advisory с перечнем затронутых endpoints и сроками миграции.
- Соответствие требованиям. Для сервисов, обрабатывающих ПДн, зафиксируйте в модели угроз смену УЦ и обновите документацию; при необходимости уведомьте регулятора о мерах обеспечения доступности. Использование отечественных корневых сертификатов упрощает доказательство контролируемости доверия в проверках.
- Проверка внешних зависимостей. Запросите у эквайринга, ОФД, логистических API и маркетплейсов их планы по сертификатам; зафиксируйте альтернативные точки входа и тестовые контуры. Если партнёры используют wildcard на ваших поддоменах (CNAME-модели), согласуйте совместный план замены.
- Измеримые критерии успеха. Введите KPI: доля FQDN с сертификатом НУЦ или альтернативным УЦ, MTTR замены сертификата (цель — менее 60 минут для витрины), доля мобильных сессий без TLS-ошибок после релиза с обновлённым pin-set, покрытие парка Android/Aurora профилями корневого сертификата — не ниже установленного вами порога.
Технически массовый отзыв — стресс-тест для всей цепочки доверия, но управляемый. Комбинация перехода на НУЦ Минцифры для периметра и внутренних систем, аккуратной работы с pinning в мобильных приложениях и централизованной доставки корневых сертификатов через MDM даёт предсказуемую деградацию вместо внезапного отказа. Поддержка отечественных сертификатов в «Яндекс Браузере» дополнительно снижает трение для пользователей, а для корпоративных сервисов вы контролируете парк и политики.
Источник: https://www.ixbt.com/news/2026/11/12/rossiiskie-saity-pod-ugrozoi-v-noiabre-ozidaetsia-novaia-volna-otzyva-sertifikatov.html