Полученный max[.]ru TLS-сертификат от Let's Encrypt не будет продлен после 4 сентября, как уверяет сам УЦ, выдавший сертификат. До этого сертификат на этот домен был отозван уже GlobalSign. Let's Encrypt также отозвал сертификат у российской биржи, торгующей уязвимостями OpZero.

Но никакого "отключения HTTPS в России" не произошло, как это иногда преподается в некоторых каналах или СМИ. Произошло публичное напоминание, что HTTPS давно перестал быть чисто технической функцией веб-сервера. Публичный сертификат – это зависимость от глобальной инфраструктуры доверия, а эта инфраструктура живет по правилам юрисдикций, браузерных программ, аудиторов, санкционных офисов и риск-комитетов самих УЦ.

GlobalSign, Let’s Encrypt, Apple, Cloudflare, HARICA – это не одна рука Госдепа, нажимающая одну красную кнопку. Это разные участники одной экосистемы, каждый со своим комплаенсом и своим пониманием риска; хотя для российского бизнеса результат может выглядеть одинаково: вчера все работало, сегодня сертификат отозван, приложение удалено, домен помечен как недоверенный или вредоносный, пользователи видят ошибку.

Генеральный директор GlobalSign Russia в своем письме пишет, что:

Обращаем ваше внимание, что отзыв производится в одностороннем порядке международным регулятором (CA/B Forum) на основании глобальных правил Baseline Requirements. ООО «Джи-Эм-О Глобал Сайн Раша», как локальное юридическое лицо, не имеет правовых или технических рычагов влияния на решения данного консорциума.

Тут он, конечно, лукавит. CA/Browser Forum – это отраслевой форум УЦ и разработчиков браузеров, который принимает Baseline Requirements и EV Guidelines. Он не вводит санкции, не ведет санкционные списки и не принимает решений "отозвать сертификаты российских компаний". И он не регулятор. Да, УЦ обязаны соблюдать Baseline Requirements CA/B Forum, свои CP/CPS, требования браузерных программ касательно корневых сертификатов и, самое главное, применимое право. А санкционные ограничения – это не решение CA/B Forum, а следствие применимого права конкретной юрисдикции УЦ: США, ЕС, Великобритания, Япония и т.п.

В EV Guidelines действительно есть проверка по ограничительным спискам и если УЦ имеет операции в США, он должен предпринимать разумные шаги для проверки по американским спискам BIS Denied Persons List, BIS Entity List, OFAC SDN List и экспортным правилам США. То есть это не "международные санкции вообще", а конкретно санкционные и экспортные ограничения США для УЦ с американской пропиской.

У Let’s Encrypt 4 июня 2026 года появилась версия Subscriber Agreement 1.7. В ней пользователь сертификата гарантирует, что он не является лицом или организацией, находящейся, зарегистрированной или обычно пребывающей в стране/территории под всесторонними санкциями США; не является запрещенной или ограниченной стороной по санкционному и экспортному праву США или другому применимому праву; и не принадлежит/не контролируется такими лицами.

Но есть нюанс. Представитель Let’s Encrypt в обсуждении написал, что сертификаты продолжают быть доступны в России и Иране для негосударственных организаций. Он также сослался на исключения, защищающие персональные коммуникации, и на авторизации OFAC согласно OFAC General License 25G и OFAC FAQ 1040, связанные с интернет-свободой и правами человека. Это не официальный policy-документ, но это полезное публичное разъяснение позиции Let’s Encrypt. То есть для обычной российской коммерческой организации, не включенной в санкционные списки и не контролируемой санкционным лицом, наличие GL 25G может быть аргументом в пользу продолжения допустимости обслуживания в американских и иных УЦ.

Кстати, в письме гендиректора GlobalSign Russia есть еще один интересный фрагмент:

Список сертификатов, которые подлежат отзыву со стороны международной структуры в прикреплённом файле. Отзыв запланирован на субботу 13 июня в 02:10 BST. Мы искренне сожалеем о действиях международных регуляторов, создающих подобные неудобства для российского ИТ-рынка.

Так что вы проснетесь и у десятков российских юрлиц уже будут отозваны сертификаты.

#pki #санкции