«Подключение не защищено»: сайты российских банков перестали открываться в браузере — что делать

С 4 августа сайты многих российских банков перестали нормально открываться в Chrome и других браузерах. При переходе на страницу появляется сообщение с предупреждением о небезопасном соединении, ошибке сертификата или невозможности установить защищённое подключение («Подключение не защищено»). Проблема уже затронула «Сбер», «ВТБ», «Альфа-Банк», «Россельхозбанк», «Уралсиб», «Промсвязьбанк» и банк «Санкт-Петербург».

Предупреждение напрямую связано с сертификатами безопасности, и подобные ситуации уже возникали раньше. Они могут затрагивать не только банковские сервисы, но и другие российские сайты: онлайн-магазины, маркетплейсы, различные онлайн-платформы и сервисы.

Разбираемся, почему это происходит и что можно сделать, чтобы вернуть доступ к нужным ресурсам.

Что за сертификаты безопасности

Сертификат безопасности — это как электронный «паспорт» сайта. Он нужен, чтобы браузер и сервер могли установить защищённое, зашифрованное соединение. Это происходит каждый раз, когда вы заходите на сайт по протоколу HTTPS — буква S в конце как раз означает «безопасное». И так сегодня устроено подключение практически ко всем ресурсам. 

Выдают такие сертификаты специальные организации — удостоверяющие центры, которым браузеры доверяют по умолчанию. Если же сайт использует сертификат, которому веб-обозреватель не доверяет, например от Национального удостоверяющего центра Минцифры РФ, вы увидите предупреждение о риске.

Сейчас зарубежные браузеры не всегда распознают сертификаты Минцифры автоматически, поэтому при попытке открыть привычный ресурс пользователь и видит ошибку. При этом сам сайт продолжает работать в обычном режиме — проблема возникает именно на этапе проверки безопасности соединения.

Как понять, что проблема именно в сертификате

Если вместо нужного сайта вы видите страницу-предупреждение «Подключение не защищено», нажмите дополнительные настройки — там может быть указана проблема именно с сертификатами. Но чтобы удостовериться, нажмите на кнопку «Не защищено» или иконку замка слева от строки с адресом сайта. Если нажать «Сведения о сертификате», то в строке «Кем выдан» можно будет увидеть, каким центром он выпущен.

Если там Russian Trusted Sub CA или The Ministry of Digital Development and Communications — это и есть тот самый национальный сертификат Минцифры, которому браузер не доверяет по умолчанию.

Также есть ряд других признаков проблемы:

• сайт не открывается в зарубежном браузере, но нормально работает в российском;
• мобильное приложение банка или сервиса работает, а веб-версия того же сайта — нет;
• проблема появилась внезапно и на нескольких разных ресурсах, хотя раньше они открывались без ошибок.

Что делать, если сайт не открывается

Есть несколько способов вернуть доступ. Но для начала стоит сделать пару базовых вещей:

• проверьте наличие доступных для браузера обновлений — должна быть установлена последняя версия;
• проверьте, установлены ли последние обновления операционной системы;
• убедитесь, что на устройстве установлены правильные дата и время — если они сбиты, браузер может некорректно проверять любые сертификаты.

Если это не помогло, попробуйте один из следующих способов.

Используйте браузер с поддержкой российских сертификатов

Самый простой вариант, если не хотите ничего настраивать, — воспользоваться браузером, который поддерживает российские сертификаты безопасности по умолчанию. Подойдёт «Яндекс Браузер». 

Если не хотите менять привычки и полностью переходить на новое приложение, можно оставить его дополнительным именно под проблемые ресурсы.

Установите сертификаты безопасности Минцифры

Это вариант посложнее, но именно он решает проблему в случае с Chrome, Safari, Edge и другими браузерами. Сертификаты должны быть на всех устройствах, с которых вы планируете заходить на российские сайты и онлайн-сервисы. 

Всего их понадобится два — корневой и выпускающий. Корневой — это своего рода «главный» сертификат, который выпустило Минцифры и на основе которого строится вся цепочка доверия. Выпускающий же подтверждён корневым и уже с его помощью подтверждается подлинность конкретных сайтов. Чтобы браузер проверял ресурсы корректно, устройству нужно доверять обоим сертификатам сразу.

Стоит учитывать, что само доверие к сертификатам — это в первую очередь доверие к тому, кто их выпустил, то есть к Минцифры, конкретному государственному ведомству. А значит, при наличии возможности перехватывать сетевой трафик оно теоретически получает возможность «встать посередине» — между вами и сайтом. Это позволяет расшифровывать HTTPS-соединение и читать данные, которые вы считаете защищёнными (пароли, переписку, платёжную информацию).

Поэтому важно, куда именно вы устанавливаете сертификаты. И тут есть два варианта.

• В системное хранилище Windows, macOS, Android или iOS. Так они автоматически начнут работать во всех совместимых браузерах на устройстве. Это самый простой вариант, но и потенциально более рискованный, поскольку под угрозой оказывается весь ваш веб-трафик, а не только сайты, которые требуют национальный сертификат.
• В отдельный браузер, который вы будете использовать исключительно для российских сайтов, требующих такой сертификат. Для всего остального можно будет пользоваться обычным браузером без него. Для такого решения подойдёт Firefox. В отличие от Chromium-аналогов он имеет собственное хранилище сертификатов, поэтому сертификат Минцифры можно установить только в него. 

Скачать сами сертификаты для разных операционных систем можно на портале «Госуслуг».

Там представлены довольно подробные видеоинструкции по установке для каждой ОС, поэтому дублировать эту информацию здесь мы не будем. 

Используйте приложение сервиса

Решение для ленивых: если проблема возникла с интернет-банком или другим сервисом, у которого есть отдельное приложение, то перейдите на него. Часто ошибка появляется только в браузерной версии сайта, а мобильный клиент продолжает работать в обычном режиме, поскольку не использует те же механизмы проверки сертификатов.

Используйте «КриптоПро CSP»

Самый специфичный, но рабочий вариант, доступный далеко не всем. 

«КриптоПро CSP» — это платная программа для работы с российской криптографией и электронной подписью. Её обычно устанавливают для работы с госуслугами, налоговой отчётностью, электронными торгами и другими сервисами, где требуется усиленная квалифицированная электронная подпись. Её используют бухгалтеры, юристы, ИП и те, кто регулярно работает с электронным документооборотом.

Если такая программа уже есть на компьютере, отдельно устанавливать сертификаты Минцифры может не понадобиться — «КриптоПро CSP» обычно добавляет их в систему автоматически при установке или обновлении. В этом случае просто проверьте, не устарела ли версия, и при необходимости обновите её.

Чего делать не стоит

Когда браузер показывает предупреждение «Подключение не защищено», он обычно всё же позволяет открыть сайт на свой страх и риск через кнопку «Дополнительные настройки». Там будут прямые ссылки вида «Всё равно перейти» или «Перейти на сайт (небезопасно)».

Мы не рекомендуем переходить по таким ссылкам, особенно если дальше вы собираетесь вводить свой логин, пароль, данные карты или другую личную информацию. 

Также не стоит скачивать сертификаты Минцифры с сомнительных сайтов. Используйте только официальный портал «Госуслуг». Не переходите по ссылкам из писем, сообщений в мессенджерах или сторонних сайтов — даже если они похожи на официальные. Под видом сертификата мошенники могут прислать вредоносный файл.

Если вам звонят или пишут от имени банка, техподдержки или «Госуслуг» и предлагают помочь установить сертификаты, например просят продиктовать код из СМС, скачать программу для удалённого доступа к экрану или перейти по присланной ими ссылке, то это, скорее всего, мошенники. Настоящая техподдержка такими вещами не занимается.