Сертификат Минцифры сейчас ищут сотни тысяч человек в месяц, и почти все они хотят одного: чтобы банк или Госуслуги открылись без красного предупреждения. Владельцу сайта в этой истории интереснее другое. Если завтра зарубежный центр отзовёт сертификат у вашего домена, часть клиентов увидит вместо каталога экран «соединение небезопасно» и просто закроет вкладку. Ниже — что официально известно о российских сертификатах, кому из бизнеса они нужны уже сейчас, что увидят посетители в разных ситуациях и что проверить на своём сайте за полчаса.
Сразу оговорюсь: я занимаюсь продвижением и техническим сопровождением сайтов с 2005 года, но не специалист по информационной безопасности. Всё, что касается сертификатов НУЦ, ниже опирается на страницы Госуслуг и сообщения Минцифры, а не на пересказы из чатов. Если сайт у вас без своего технического человека, эту часть обычно закрывает техническая поддержка и продвижение сайта — сертификаты там проверяются так же регулярно, как позиции.
Если нужно просто установить сертификаты Минцифры на телефон или компьютер
Большинство приходит с этим вопросом, поэтому отвечу коротко. Единственная официальная страница с файлами и инструкциями — раздел о российских сертификатах на Госуслугах. Там отдельные пошаговые инструкции для Android, iOS, Windows, macOS и Linux.
Что там сказано по сути:
- Самый простой путь — Яндекс Браузер: по данным Госуслуг, он поддерживает российские сертификаты по умолчанию, и ставить их на устройство не нужно.
- Если вы пользуетесь другим браузером или не работают сторонние программы, устанавливаются корневой сертификат Russian Trusted Root CA и выпускающие Russian Trusted Sub CA и Russian Trusted Sub CA 2024.
- Тем, кто ставил сертификаты раньше, Госуслуги советуют добавить новые корневые и выпускающие, иначе часть сайтов снова может открываться с ошибкой.
- После установки нужно очистить кеш браузера.
- В Opera, Firefox, «Mi Браузере» и некоторых других сайты могут открываться с ошибкой даже после установки — это прямо написано в разделе частых вопросов.
Скачивайте файлы только с gosuslugi.ru. Сертификат, присланный «от банка» в мессенджере или письмом, — повод насторожиться, а не устанавливать. Дальше текст для тех, у кого есть свой сайт.
Откуда взялись российские сертификаты и что такое НУЦ
Любой сайт на HTTPS показывает браузеру сертификат. Браузер проверяет цепочку доверия: кем выпущен сертификат сайта, доверяет ли он этому удостоверяющему центру. Если проверка не проходит, сайт не открывается или показывает предупреждение. Подробнее о самом механизме я писал в старой статье что такое сертификат SSL, здесь повторять не буду.
На странице проекта Минцифры история изложена так: в марте 2022 года иностранные компании, выдававшие сертификаты, стали отзывать их у российских сайтов. В ответ начали выдавать отечественные TLS-сертификаты. Выпускает их Национальный удостоверяющий центр Минцифры. На Госуслугах НУЦ описан как информационная система, в которой создаются сертификаты безопасности, часть инфраструктуры государственных услуг. В промышленную эксплуатацию, по данным министерства, НУЦ введён в 2021 году.
Важная деталь из сообщения Минцифры от 23 июля 2026 года: при отзыве зарубежных сертификатов российские сайты могут некорректно открываться в иностранных браузерах — министерство называет Chrome, Safari и Edge, — а соединение может отображаться как небезопасное. Там же сказано, что некоторые ресурсы уже сообщали о возможной недоступности из-за отзывов. То есть риск не теоретический: министерство само предупреждает о нём пользователей.
Масштаб на странице проекта (данные на август 2026 года): корневые сертификаты НУЦ установлены на пользовательские устройства более 33,2 млн раз, заявок на сертификаты для сайтов подано более 30,5 тыс. Установка, как подчёркивает Минцифры, добровольная — и для граждан, и для бизнеса.
Какой сертификат может получить владелец сайта
Для сайтов на Госуслугах есть отдельная страница о сертификатах безопасности. Там два вида, оба бесплатные.
DV-сертификат. Подтверждает, что вы управляете доменом. Защищает один домен, действует 90 дней. Получить могут граждане РФ, иностранцы, организации и ИП. Заявление рассматривается 1 рабочий день.
OV-сертификат. Подтверждает, что вы владеете доменом и управляете им. Может защищать несколько доменов, действует 365 дней. Доступен гражданам РФ, организациям и ИП, срок исполнения — 3 рабочих дня. В новости Минцифры от сентября 2025 года уточняется, что для OV у заявителя должна быть усиленная квалифицированная электронная подпись.
Ещё несколько фактов со страницы Госуслуг, которые важны на практике:
- Управление доменом подтверждается файлом в формате txt на сайте или TXT-записью в DNS. Владение для OV — документами: договором, письмом о передаче права управления, свидетельством о регистрации домена.
- Можно выбрать алгоритм: международный RSA или российские ГОСТ. Для ГОСТ нужен криптопровайдер — отдельная программа.
- Продлить сертификат нельзя, только выпустить новый по новому заявлению.
- Отозвать сертификат нужно, если закрытый ключ скомпрометирован или изменён, сменился владелец домена или владелец прекратил работу.
Проверить, выпускался ли сертификат НУЦ для вашего домена, можно в Яндекс Вебмастере: в разделе инструментов есть проверка наличия сертификата НУЦ. Справка Вебмастера советует написать в поддержку, если домен значится с сертификатом, который вы не запрашивали. Это полезная проверка сама по себе: неожиданный сертификат на ваш домен — повод выяснить, у кого ещё есть доступ к DNS или хостингу.
Что увидит клиент: российский сертификат против обычного
Вот здесь и кроется главный вопрос для бизнеса. По разделу частых вопросов на Госуслугах: без установленных сертификатов при попытке зайти на сайт с российским сертификатом появится предупреждение о небезопасности ресурса. Яндекс Браузер такие сайты открывает без установки. Остальным браузерам нужны сертификаты на устройстве, а в части браузеров, по той же странице, ошибка может остаться и после установки.
Отсюда простая логика по ситуациям:
| Ситуация сайта | Какой сертификат | Что увидит клиент |
|---|---|---|
| Обычный сайт, сертификат от общепризнанного центра действует | Текущий, ничего не менять | Замок в адресной строке в любом браузере |
| Сертификат истёк, автопродление не сработало | Выпустить заново у того же центра | Предупреждение о небезопасном соединении во всех браузерах |
| Зарубежный центр отозвал сертификат у домена | Российский DV или OV с Госуслуг | В Яндекс Браузере — обычный сайт; в других браузерах без установленных сертификатов Минцифры — предупреждение |
| Сайт только на российском сертификате, аудитория в основном с телефонов со встроенными браузерами | Российский, плюс заметная подсказка посетителям | Часть посетителей увидит предупреждение, пока не установит сертификаты или не сменит браузер |
| На сайте есть страница оплаты через платёжный сервис | Сертификат страницы оплаты обеспечивает сам платёжный сервис | Зависит от провайдера — уточните у него, какой сертификат он использует |
Вывод для обычного малого бизнеса: переводить работающий сайт на российский сертификат «на всякий случай» смысла нет — вы сами создадите предупреждение тем посетителям, у кого он не установлен. Российский сертификат — это план Б на случай отзыва. А вот знать, как его получить, и заранее подготовить всё для заявления стоит сейчас, пока ничего не горит.
Отдельная история — страницы, где клиент платит. Как устроен приём денег и где заканчивается зона ответственности сайта, разбирал в статье про приём оплаты на сайте. Если оплата идёт на стороне банка или платёжного сервиса, сертификат этой страницы — его забота, но проверить, как она открывается в разных браузерах, всё равно стоит.
Кому российский сертификат нужен уже сейчас
По сообщениям Минцифры и Госуслуг, сертификаты НУЦ нужны для сайтов органов власти, банков и ряда других организаций, и постепенно их планируют внедрить на большинство российских сайтов. Для бизнеса из этого следует практическое деление.
Нужно разобраться прямо сейчас, если зарубежный центр уже отказал вашему домену в выпуске или отозвал сертификат, если хостер или партнёр-банк прислал официальное уведомление о переходе, если ваши клиенты работают через веб-кабинет, связанный с банковскими операциями.
Достаточно подготовиться, если сайт — это витрина, каталог услуг или интернет-магазин и сертификат сейчас выпускается без проблем. Подготовка — это доступ к DNS домена, понимание, кто может разместить файл на сервере, и подтверждённая учётная запись на Госуслугах у владельца или организации. Для OV — ещё и электронная подпись.
Ничего делать не нужно с самими сертификатами, если сайт работает, замок на месте и продление автоматическое. Но проверки ниже не помешают никому.
Что проверить на своём сайте за полчаса
Большинство проблем, из-за которых клиенты видят «небезопасно», к Минцифры отношения не имеют. Это истёкший сертификат, сертификат не на тот адрес или смешанный контент. Вебмастер присылает о таких вещах уведомления в разделе диагностики — среди типичных ошибок в блоге Яндекса перечислены истёкший срок, сертификат на другой домен или не на все поддомены, отсутствующий или отозванный удостоверяющий центр и самоподписанный сертификат.
| Что проверить | Как понять, что всё в порядке | Если не в порядке |
|---|---|---|
| Срок действия сертификата | До окончания больше двух недель, дата продления известна | Выпустить заново, выяснить, почему не сработало продление |
| Автопродление | Хостер или администратор подтвердил, что оно включено и когда сработало последний раз | Включить, поставить напоминание в календарь |
| Адреса с www и без, поддомены | Все варианты открываются с замком и ведут на один адрес | Выпустить сертификат на все используемые имена |
| Смешанный контент | На страницах нет картинок, скриптов и форм по http | Заменить адреса на https в шаблоне и базе |
| Уведомления Вебмастера | В диагностике нет ошибок сертификата | Исправить и дождаться повторной проверки |
| Сертификат НУЦ на ваш домен | Проверка в Вебмастере показывает только то, что вы запрашивали сами | Выяснить, кто запросил, и написать в поддержку |
Про смешанный контент и то, что смотреть в Вебмастере после переезда, подробно написано в разборе переход WordPress на HTTPS. Если сомневаетесь, стоит ли вообще держать сайт на защищённом протоколе, — старая статья о том, влияет ли HTTPS на позиции сайта, ответ там однозначный.
Про автопродление отдельно. Многие хостеры выпускают бесплатные сертификаты Let’s Encrypt. По их официальному FAQ стандартный срок — 90 дней, продлевать советуют каждые 60. Если автопродление сломалось после смены DNS или переезда, через три месяца сайт внезапно становится «небезопасным».
План Б на случай отзыва сертификата
Если однажды замок пропал и хостер говорит, что зарубежный центр отозвал сертификат, действовать удобнее по заранее записанному плану, чем в панике.
- Убедиться, что дело именно в отзыве, а не в истёкшем сроке или ошибке настройки. Это скажет хостер или администратор сайта.
- Попробовать выпустить сертификат у другого общепризнанного центра, если это возможно, — посетители в любых браузерах не заметят разницы.
- Если нет — подать заявление на DV или OV на Госуслугах, подтвердить управление доменом файлом или DNS-записью и установить сертификат на сервер.
- Разместить на сайте и в карточке компании короткую подсказку: сайт открывается в Яндекс Браузере или после установки сертификатов Минцифры, со ссылкой на gosuslugi.ru/crt.
- Проверить формы заявок, оплату и корзину в двух-трёх браузерах на телефоне и компьютере.
Чтобы оценить, сколько стоит неготовность, — условный пример, не реальный кейс. Сайт услуг получает 60 заявок в месяц, средний чек 15 000 рублей. Если неделю треть посетителей видит предупреждение и уходит, это около пяти потерянных заявок, то есть порядка 75 000 рублей выручки только за одну неделю. Подготовка к плану Б занимает пару часов, и делается она один раз.
Недоступный или «опасный» сайт бьёт не только по заявкам. Робот поисковика тоже приходит на сайт, и затяжные проблемы с доступностью он замечает раньше владельца — об этом статья сайт недоступен ночью. Простой мониторинг, который сообщает о падении и об истекающем сертификате, стоит копейки по сравнению с неделей простоя.
Когда нужен специалист, а не статья
Сертификат — одна из немногих технических тем, где ошибка видна клиенту сразу. Позовите хостера или технического специалиста, если:
- после установки нового сертификата сайт открывается не у всех или не на всех адресах;
- нужно держать на сервере несколько сертификатов или использовать ГОСТ-алгоритмы с криптопровайдером;
- на сайте есть личный кабинет, приём платежей или обработка персональных данных — там ошибки дороже;
- вы обнаружили выпущенный на ваш домен сертификат, которого не заказывали;
- закрытый ключ мог попасть к посторонним, например к бывшему подрядчику, — тогда сертификат, по правилам Госуслуг, нужно отзывать.
Защита банковских и государственных систем — зона профильных специалистов по информационной безопасности, а не того, кто сопровождает сайт.
Частые вопросы
На Госуслугах сказано, что установка безопасна, не влияет на функциональность устройства, а механизм работы такой же, как у сертификатов зарубежных центров. Практическое правило одно: файлы только с gosuslugi.ru. В компании, где компьютерами управляет системный администратор, согласуйте установку с ним.
Обязан ли бизнес переводить сайт на российский сертификат?
По сообщению Минцифры от октября 2024 года, установка сертификатов добровольна и для граждан, и для бизнеса. Отдельных официальных требований к обычным коммерческим сайтам переходить на сертификаты НУЦ я на страницах Госуслуг и министерства не нашёл. Если ваша отрасль регулируется особо, уточните у профильного регулятора или юриста.
Можно ли продлить российский сертификат?
Нет. По разделу частых вопросов на Госуслугах продлить нельзя, можно только сформировать новый, отправив заявление заново. DV действует 90 дней, OV — 365 дней, поэтому дату окончания нужно держать в календаре.
Клиент пишет, что сайт «небезопасный», а у меня всё открывается. Кто прав?
Оба могут быть правы. Узнайте у клиента браузер, устройство и точный текст предупреждения, попросите скриншот. Затем проверьте срок сертификата, адрес с www и без, и нет ли уведомлений в Вебмастере. Если на сайте российский сертификат, а у клиента браузер без его поддержки, — это как раз описанный выше случай.
Коротко
- Установить сертификаты Минцифры на устройство можно по официальной странице gosuslugi.ru/crt; в Яндекс Браузере поддержка встроена.
- Для сайта на Госуслугах бесплатно выпускаются DV на 90 дней и OV на 365 дней; продлить нельзя, только выпустить заново.
- Посетители без установленных сертификатов увидят на сайте с российским сертификатом предупреждение, поэтому менять работающий сертификат без причины не стоит.
- Российский сертификат — план Б на случай отзыва; подготовиться к нему нужно заранее: доступ к DNS, учётная запись и подпись.
- Чаще всего «небезопасно» пишут из-за истёкшего срока, сломанного автопродления и смешанного контента, а не из-за Минцифры.
- Проверка наличия сертификата НУЦ в Вебмастере показывает, не выпускал ли кто-то сертификат на ваш домен.
Если не хочется разбираться с этим самому, приходите на консультацию: проверю доступы и уязвимые места сайта и рекламных кабинетов, срок и настройку сертификата, смешанный контент и уведомления Вебмастера, а заодно составлю план Б на случай отзыва. Когда найденное нужно исправить руками, это делается в рамках доработки сайта — без переделки всего проекта, только то, что мешает клиентам и поиску, включая SEO-часть.
Увеличьте позиции и продажи вашего сайта
Профессиональное SEO-продвижение с гарантией результата. Выберите подходящую услугу:
Остались вопросы по продвижению?
Меня зовут Анатолий Кузнецов, я SEO-оптимизатор с 20-летним стажем. Разберу ваш сайт, отвечу на вопросы и подскажу, что улучшить для роста позиций в Яндексе и Google.
Связаться со мной →
Старт 
Стандарт 
Премиум 
Комментарии
Аким Ж.
У нас небольшой интернет-магазин, хостер в августе прислал письмо, что сертификат «может быть отозван», и предложил срочно купить у них какой-то российский за деньги. Это вообще нормально, если на Госуслугах бесплатно?
Анатолий Кузнецов автор
Сначала проверьте, что письмо действительно от хостера: зайдите в личный кабинет не по ссылке из письма, а через закладку, и посмотрите уведомления там. Сам сертификат НУЦ на Госуслугах бесплатный, это указано на странице услуги. Хостер может брать деньги за работу — выпуск, установку, настройку продления, и это нормальная услуга, если так и написано. Ненормально, когда платный продают под видом «обязательного», не объясняя, что есть бесплатный вариант. Спросите у поддержки прямо: чей это сертификат, сколько действует и что будут видеть покупатели в разных браузерах.
Бела Т.
Проверила свой сайт по таблице — срок сертификата заканчивается через девять дней, а я была уверена, что там всё само продлевается. Хорошо, что заглянула.
Вадим Ф.
Не понимаю паники. Сайт у меня пять лет на бесплатном сертификате, ни разу ничего не отзывали. Зачем готовить какой-то план Б, если проблемы нет?
Анатолий Кузнецов автор
Паники и не нужно, в статье прямо написано: работающий сертификат не трогать. План Б — это не действие, а записка на один лист: где доступ к DNS, кто может положить файл на сервер, есть ли учётная запись организации на Госуслугах. Когда всё хорошо, на это уходит час. Когда замок пропал в пятницу вечером, те же ответы ищутся два дня, а сайт всё это время показывает предупреждение. Минцифры в июле само писало, что отдельные ресурсы уже сталкивались с отзывами, так что вероятность не нулевая.
Гела
А если поставить сертификаты Минцифры на все рабочие компьютеры в офисе, это как-то поможет нашему сайту?
Дамир Ж.
Гела, вашим сотрудникам поможет открывать сайты банков и госорганов. Вашему сайту — нет: предупреждение видят клиенты на своих устройствах, а не вы у себя в офисе. У нас так главбух долго думала, что проблема решена, потому что у неё всё открывалось.
Ева Т.
Для OV нужна квалифицированная подпись. У меня ИП, подпись есть только на токене у бухгалтера на аутсорсе. Можно как-то обойтись DV и не заморачиваться?
Анатолий Кузнецов автор
Для одного домена DV вполне достаточно: он подтверждает управление доменом и шифрует передачу данных. Минус один — срок 90 дней, и продлить его нельзя, придётся каждый раз подавать новое заявление. Поэтому, если выберете DV, сразу поставьте напоминание за две-три недели до окончания. OV удобнее, когда доменов несколько или не хочется возиться раз в квартал. А подпись лучше держать под своим контролем, а не у стороннего бухгалтера, но это уже отдельный разговор о доступах.
Жанна Н.
Про смешанный контент — у нас на главной картинки из старой галереи грузились по http, браузер не показывал замок только на главной. Разработчик потом полдня искал, откуда это.
Зоя Ф.
Зашла в Вебмастер, нашла проверку сертификата НУЦ — на наш домен ничего не выпущено. Это хорошо или плохо?
Инна Ж.
Зоя, если вы сами не заказывали, то это ровно то, что должно быть. Плохо было бы наоборот — сертификат есть, а вы о нём не знаете.
Карен Т.
У нас автосервис, клиенты в основном с телефонов. Если вдруг придётся перейти на российский сертификат, люди же не будут ради записи на шиномонтаж ставить какие-то профили на айфон.
Анатолий Кузнецов автор
Не будут, и рассчитывать на это не стоит. Поэтому для такого бизнеса сайт — не единственная точка входа. Телефон, карточка на картах и мессенджер для записи должны работать независимо от сертификата сайта. На сам сайт в плане Б добавляется короткая подсказка, но основная ставка — чтобы клиенту было куда позвонить, даже если страница не открылась. И пока текущий сертификат выпускается без проблем, менять его не нужно вовсе.
Лиана Ф.
Спасибо, что без страшилок. Сохранила таблицу с проверками, отдам нашему подрядчику по сайту — пусть отчитается по каждой строке.
Мирон Ж.
Мне в мессенджер пришёл файл «сертификат безопасности банка, установите для входа». Хорошо, что прочитал про gosuslugi.ru раньше, чем открыл. Удалил, позвонил в банк — ничего они не рассылали.
Анатолий Кузнецов автор
Правильно сделали, и особенно правильно, что позвонили в банк по номеру с карты или официального сайта, а не по контактам из сообщения. Официальные файлы сертификатов лежат на Госуслугах, банки отправляют туда же или в своё приложение. Любой файл «для входа», присланный в личку, лучше не открывать вообще. Если такой файл уже установили, сообщите в банк и покажите устройство специалисту — это вопрос не сайта, а безопасности вашего телефона или компьютера.