SSL/TLS-сертификаты: жизненный цикл без инцидентов после ухода привычных CA

Летом 2026 года иностранные удостоверяющие центры начали массовый отзыв SSL/TLS-сертификатов для доменов российских подсанкционных компаний. Регулятор CA/Browser Forum ужесточил правила из-за риска вторичных санкций. Итог для инфраструктуры: без сертификата в корневом хранилище доверия популярных браузеров пользователи увидели ошибки NET::ERR_CERT_AUTHORITY_INVALID вместо страниц входа и предупреждение о небезопасном соединении, либо вовсе не смогли открыть онлайн-ресурс.

В группе Рунити мы прошли через это на ряде действующих высоконагруженных проектах наших клиентов в Руцентре и Рег.ру. Санкционный периметр может расшириться в любой момент — а это значит, что отзыв сертификата стоит закладывать уже сейчас в модель угроз даже тем, кто пока не находится под прямыми санкциями.

В докладе представлю не рассуждения о политике, а покажу процессы, возможные риски и варианты выхода из ситуации для пересборки жизненного цикла SSL/TLS: от получения уведомления об отзыве до миграции на альтернативные цепочки доверия без потери доступности. Расскажу, как выбирать другой сертификат — отечественный или есть ли тут выбор, — как подготовить клиентов компании и есть ли возможности минимизировать дискомфорт. А также поделюсь, как перестроить процессы, чтобы пережить отзыв любого CA.

Ключевые тезисы: — общее устройство мирового рынка SSL/TLS-сертификатов; — особенности оформления иностранных сертификатов для компаний из России: что остается доступным с санкциями и без; — выбор из российских решений: типы, виды и отличия, возможность миксовать сертификаты; — разница в последствиях отзывов для сайтов, ИТ-систем и приложений; — как готовить какой из онлайн-активов к возможному риску; — практический кейс: на примере одного из банков покажу, что и как делали в режиме реального времени, особенности взаимодействия с удостоверяющими центрами и как выстраивали коммуникацию с пользователями.