Почему браузеры блокируют доступ к российским сайтам и чем это грозит пользователям

Причина — международные центры сертификации отзывают TLS-сертификаты у ресурсов, попавших под санкции. Для тех, кто покупает подарочные карты и платит за подписки через нероссийские браузеры, это прямой риск: либо потеря доступа к платёжным сервисам, либо клик по фейковому зеркалу.

Цепочка отзывов

С середины июня японская GlobalSign — один из крупнейших мировых центров сертификации — начала резать TLS-сертификаты российским юрлицам из санкционных списков. Повод — обновлённые требования консорциума CA/Browser Forum: участники обязаны сверяться с международными санкционными реестрами. По оценкам источника РБК, в июне под ударом оказались 15–20 тысяч доменов второго уровня в зоне.ru. К 1 сентября, по данным профильного сообщества Techora, отозвано уже 6997 сертификатов, из них 4677 — именно GlobalSign.

Под раздачу попали крупные банки, платёжные сервисы и даже мессенджеры. Сертификат Max от Let's Encrypt истёк 4 сентября, и в июле сайт переехал на греческий HARICA — но это временная мера: сертификат действует до февраля 2027-го и теоретически может быть отозван в любой момент.

Почему «Яндекс» и отечественные серты — не панацея

Минцифры с 2022-го продвигает отечественные TLS-сертификаты, а с этого лета агитацию подхватили «Госуслуги» и сами компании — на сайте Сбера инструкция по установке висит в самом видном месте. Альтернатива — просто пересесть на «Яндекс Браузер», где российские серты встроены по умолчанию.

Проблема в том, что оба совета бьют по приватности. Доля российских сертификатов в зоне.ru — меньше 1%, подтверждал IT-эксперт Давид Френкель: из 10 тысяч самых популярных российских сайтов на отечественные серты перешли лишь несколько десятков. Остальные предпочитают китайский TrustAsia — лишь бы не ставить государственный софт. Логика понятна: трафик через «свои» сертификаты технически проще перехватить и прочитать.

Что делать при оплатах и покупках

Увидели предупреждение о незащищённом соединении на сайте банка, маркетплейса или магазина подарочных карт — не пробивайтесь через баннер вручную. Если ресурс нужен для ввода платёжных данных, это прямой вектор для фишинга: подменный домен с тем же названием перехватит платёж.

Рабочая схема — держать «Яндекс Браузер» только под конкретные российские сервисы, а для всего остального использовать привычный Chrome или Firefox. Покупки подарочных карт и оплату подписок лучше проводить через каналы, где вы контролируете цепочку сертификатов. Если магазин не открывается в основном браузере — не гуглите зеркало, а сверьте официальный адрес по закладкам или у поддержки.

Выбор доверенной площадки — штука универсальная. Та же логика работает и в фэндоме: разбор, где надёжнее держать свои тексты — на Фикбуке или AO3 — показывает, что в любой нише вопрос доверия упирается в одно: кто контролирует инфраструктуру, тот контролирует и трафик.