Бесплатная консультация юриста

+7 (800) 301-07-30

Реклама jurik.ru

С пользователи в России массово столкнулись с неполадками при попытках доступа к веб-ресурсам финансовых организаций, госуслуг и крупных корпоративных порталов. Проблема проявляется независимо от используемого браузера — Google Chrome, Safari, Mozilla Firefox, Яндекс Браузер и другие выдают ошибки безопасности или бесконечную загрузку страницы. В данной статье подробно разберем техническую природу сбоя, связанную с работой реестров сертификатов и DNS, а также предложим пошаговые инструкции по восстановлению доступа.

Суть проблемы: почему не открываются сайты?

Основная причина текущего инцидента кроется в нарушении цепочки доверия SSL/TLS-сертификатов и особенностях работы систем проверки отзыва сертификатов (CRL и OCSP) на территории РФ. Многие российские организации (банки, страховщики, госструктуры) перешли на отечественные удостоверяющие центры (УЦ), такие как * (название УЦ скрыто), * и другие, чьи корневые сертификаты должны быть установлены в хранилище доверенных корневых центров сертификации операционной системы или браузера.

Ключевые технические факторы сбоя:

Недоступность точек распространения CRL (CRL Distribution Points): Браузеры пытаются скачать списки отозванных сертификатов с серверов УЦ или их зеркал; Из-за санкционных ограничений, блокировок подсетей или DDoS-атак на инфраструктуру УЦ эти адреса становятся недоступны. В режиме строгой проверки (Hard Fail) браузер блокирует соединение.
Проблемы с OCSP-респондерами: Серверы онлайн-проверки статуса сертификата (OCSP) не отвечают в установленные таймауты.
Отсутствие/устаревшие корневые сертификаты: В ОС (Windows, macOS, iOS, Android) или в отдельных браузерах (Firefox использует свое хранилище NSS) отсутствуют актуальные корневые сертификаты Минцифры РФ или конкретных УЦ.
DNS-спуфинг и подмена записей: В некоторых регионах провайдеры возвращают неверные IP-адреса для доменов реестров (например, reestr..ru, crl..ru, ocsp.*.ru), перенаправляя запросы на заглушки или блокировочные страницы.

Типичные ошибки и их расшифровка

В консоли разработчика (F12 -> Console/Network) или на экране блокировки можно увидеть следующие коды:

ERR_CERT_REVOKED / SEC_ERROR_REVOKED_CERTIFICATE — сертификат считается отозванным (браузер не смог проверить актуальность из-за недоступности CRL/OCSP).
ERR_CERT_AUTHORITY_INVALID / MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY — корневой УЦ не доверен или цепочка сертификатов построена неверно.
ERR_CONNECTION_TIMED_OUT / NETWORK_ERROR при обращении к crl..ru или ocsp..ru — браузер не может скачать список отзыва.
CERT_DATE_INVALID — расхождение системного времени (часто после перехода на летнее/зимнее время или сбоя NTP).

Пошаговое руководство по устранению (для пользователей)

Обновление корневых сертификатов (Windows / Linux / macOS)

Самое эффективное решение — установка актуального пакета корневых сертификатов Минцифры РФ.

Windows: Скачайте установщик с официального портала gosuslugi.*.ru (раздел «Настройка доступа» -> «Корневые сертификаты»). Запустите install_root_certs.exe от имени администратора. Перезагрузите ПК.
macOS / iOS: Скачайте профиль конфигурации (.mobileconfig) с того же портала. Откройте «Настройки» -> «Загруженные профили» -> «Установить». Введите пароль от устройства. После установки обязательно включите полное доверие: «Настройки» -> «Основные» -> «О VPN и управлении устройством» -> «Настройки доверия сертификатов» -> включите переключатель для «Минцифры РФ Root CA».
Linux (Ubuntu/Debian/Astra/ALT): Выполните в терминале:
```
sudo apt update && sudo apt install ca-certificates-russia
sudo update-ca-certificates
```
Для Firefox отдельно импортируйте сертификат через Настройки -> Приватность и защита -> Сертификаты -> Просмотреть сертификаты -> Удостоверяющие центры -> Импортировать (файл root_ca.crt с портала госуслуг).

Настройка DNS (обход блокировок реестров CRL/OCSP)

Если корневые сертификаты установлены, но ошибки остаются — проблема в недоступности серверов отзыва. Рекомендуется сменить DNS на публичные с поддержкой DoH/DoT:

Яндекс DNS (Безопасный): 77.88.8.88 / 77.88.8.2 (DoH: https://dns.yandex.ru/dns-query)
Cloudflare: 1.1.1.1 / 1.0.0.1
Google: 8.8.8.8 / 8.8.4.4

Важно: Настройте DNS либо на роутере (для всей сети), либо в настройках сетевого адаптера ОС. В браузерах (Chrome, Firefox, Edge) включите DNS over HTTPS (DoH) в настройках приватности/безопасности, выбрав «Яндекс» или «Cloudflare». Это зашифрует DNS-запросы и предотвратит подмену провайдером.

Очистка кэшей (SSL State, DNS, Browser Cache)

Windows: Win+R -> inetcpl.cpl -> вкладка «Содержимое» -> «Очистить состояние SSL». В терминале (Admin): ipconfig /flushdns.
macOS: Терминал: sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder. Keychain Access -> Категория «Сертификаты» -> удалить устаревшие/проблемные сертификаты УЦ.
Браузеры: Ctrl+Shift+Del -> выбрать «Кэшированные изображения и файлы», «Файлы cookie» (опционально). В Chrome: chrome://net-internals/#dns -> «Clear host cache». chrome://net-internals/#hsts -> удалить домен проблемного сайта (Query domain -> Delete).

Временное отключение проверки отзыва (Только для диагностики!)

Внимание: Это снижает безопасность. Используйте только для проверки гипотезы, верните настройки обратно.

Chrome / Edge / Яндекс Браузер: Ярлык запуска -> Свойства -> в поле «Объект» в конце дописать: —ignore-certificate-errors-spki-list=* (не рекомендуется) или проще: настройки -> Приватность и безопасность -> Безопасность -> отключить «Проверять сертификаты серверов на отзыв» (если есть такая опция в версии браузера);
Firefox: about:config -> security.OCSP.enabled = 0 (0 ⎻ отключено, 1 ⸺ включено, 2 ⸺ только если сервер предоставляет OCSP stapling).
Windows (системно): Win+R -> inetcpl.cpl -> Дополнительно -> Безопасность -> СНЯТЬ галочки: «Проверять отзыв сертификатов серверов» и «Проверять отзыв сертификатов издателей». Применить -> ОК -> Перезапуск браузеров.

Действия для системных администраторов и владельцев сайтов

Если вы администратор веб-ресурса, столкнувшегося с жалобами пользователей:

Внедрите OCSP Stapling: Настройте веб-сервер (Nginx, Apache, IIS) на прикрепление OCSP-ответа к TLS-хендшейку. Это снимает нагрузку с клиента и обходит проблему недоступности OCSP-респондера УЦ.
```
# Пример для Nginx
ssl_stapling on;
ssl_stapling_verify on;
resolver 77.88.8.8 1.1.1.1 valid=300s;
resolver_timeout 5s;
```
Проверьте CRL Distribution Points в сертификате: Убедитесь, что URL в поле CRL Distribution Points (точка распространения CRL) доступен из РФ. Если УЦ предоставляет зеркала (CDN) — уточните их поддержку. Рассмотрите возможность хостинга CRL-файла на собственном поддомене (например, crl.mybank.ru) с проксированием на источник.
Используйте сертификаты с коротким сроком жизни и без CRL/OCSP (например, Let’s Encrypt / Buypass / ZeroSSL): Для внешних контуров, где нет требований ГОСТ/ФЗ-152 к криптографии, это лучшее решение. Автоматизация через Certbot / acme.sh исключает человеческий фактор.
Мониторинг доступности: Настройте проверки (Zabbix, Prometheus, UptimeRobot) на доступность URL ваших CRL и OCSP из разных регионов РФ и ASN провайдеров.

Специфика мобильных устройств (Android / iOS)

На смартфонах проблема часто усугубляется политиками MDM (Mobile Device Management) или антивирусами (Kaspersky, Dr.Web, ESET), которые подменяют системное хранилище сертификатов для инспекции HTTPS-трафика.

Android: Настройки -> Безопасность -> Дополнительно -> Шифрование и учетные данные -> Установленные сертификаты -> вкладка «Система» / «Пользователь». Проверьте наличие сертификата Минцифры. Если стоит антивирус — временно отключите «Защиту веб-серфинга» / «Проверку HTTPS».
iOS / iPadOS: Как описано выше — профиль конфигурации + включение доверия в настройках. Проверьте «Настройки» -> «Основные» -> «VPN и управление устройством», нет ли профилей от корпоративного MDM, блокирующих недоверенные корни.

Чек-лист для обращения в техподдержку

Если самостоятельные действия не помогли, соберите следующую информацию перед звонком в поддержку банка / госуслуг / провайдера:

Точный текст ошибки (скриншот экрана браузера и консоли разработчика F12 -> Console).
Домен сайта (например, ibank..ru).
ОС и версия (Windows 10 22H2, macOS Sonoma 14.5, Android 14, iOS 17.5).
Браузер и версия (Chrome 125.0., Safari 17.5, Яндекс 24.5.).
Провайдер интернета (домашний / мобильный: , , ).
Результат команды nslookup crl..ru и tracert ocsp..ru (выполнить в терминале/командной строке).
Наличие/отсутствие установленного профиля корневых сертификатов Минцифры.

Ситуация с недоступностью реестров отзыва сертификатов (CRL/OCSP) стала системной для российского сегмента интернета в 2026 году. Она обусловлена сочетанием факторов: уход зарубежных УЦ, переезд на отечественную PKI, инфраструктурные нагрузки и сетевые ограничения. На данный момент наиболее надежная стратегия для конечного пользователя, установка актуальных корневых сертификатов Минцифры РФ + использование зашифрованного DNS (DoH/DoT) публичных резолверов + регулярная очистка кэшей.

Для владельцев ресурсов приоритетом является внедрение OCSP Stapling и аудит доступности точек распространения CRL. Ожидается, что Минцифры и ФСБ выпустят обновленные рекомендации по эксплуатации отечественной PKI в ближайшие недели.

Статья подготовлена на основе данных мониторинга за . Ситуация динамична; рекомендации могут меняться. Перед применением изменений в продакшн-среде обязательно тестируйте на стенде.