📣23 июня 2026 года состоится II заседание Экспертного совета по вопросам внедрения и использования электронной подписи и сертификатов безопасности

Бюллетень SC-103 от Let's Encrypt

Let's Encrypt, как и обещали, вынесли на голосование CA/B Forum требование о закреплении расширения serverAuth EKU в кросс-сертификатах в Базовых требованиях (BR).

Попытка ужесточить требования для кросс-сертификатов сертификатов вызвала дискуссию участников CA/B Forum (кстати, степень открытости обсуждения поражает, это неподкапотное заочное голосование, а открытое обсуждение, нашим до такого далеко).

Обсуждение бюллетеня SC-103 началось 12.06.2026, представленная версия выявила разногласия CA/B Forum.
Предложение Let's Encrypt гармонизировать Базовые требования с политиками программ доверия к корням (Chrome, Mozilla, Apple, Microsoft) получило возражения, связанные с трактовкой правил CCADB и судьбой legacy-корней.

Бюллетень требует, чтобы все кросс-сертификаты обязательно содержали EKU и использовали только строго ограниченный набор OID (в основном id-kp-serverAuth и id-kp-clientAuth), ужесточает текущие правила:
🔹Позиция Let's Encrypt: правило CCADB зависит от того, является ли новый подчинённый УЦ многоцелевым. А все корневые программы уже требуют, чтобы новые SubCA были одноцелевыми, соответственно BR должны просто это зафиксировать.
🔹Контраргумент от УЦ HARICA: CCADB ограничивает новую иерархию, а не выпускающий корень. Для иерархий, не связанных с TLS (например, сертификаты подписи кода), правила CCADB не диктуют конкретные EKU - они лишь запрещают serverAuth, поэтому BR не должны копировать это требование.

Появилась новая проблема legacy-корней и не-TLS сценариев:
🔹Возражение от Sectigo: Предложенная формулировка препятствует legacy-корням выдавать кросс-сертификаты для целей, отличных от TLS, например, для подписания документов. Новый SubCA остаётся одноцелевым, но технически попадает под запрет.
🔹 Let's Encrypt предложили компромисс - они готов добавить OID Document Signing в разрешенный перечень, но предупреждает, что политика CCADB его не разрешает, поэтому участники её программ не смогут этим воспользоваться.

Период обсуждения уже завершился 19 июня, Let's Encrypt должен подготовить вторую версию бюллетеня с учётом замечаний - как минимум добавить Document Signing. Посмотрим, сможет вторая версия найти баланс между унификацией (которую поддерживают Mozilla и Google) и необходимой гибкостью для legacy-корней и не-TLS сценариев (на чём настаивают Sectigo и HARICA). Продолжаем наблюдение.

✍️"Об ЭП и УЦ"

⚡ УЦ Let's Encrypt отозвал сертификат безопасности Мегафона

Сертификат отозван у домена 4-го уровня cdn2.shop.megafon.ru

Домен: cdn2.shop.megafon.ru
SAN: s93451.cdn.ngenix.net
УЦ: letsencrypt_yr2
Причина: Unspecified
Дата отзыва: 2026-06-23 22:19:03 UTC UTC

Причина - "Unspecified", т.е. не указана. GlobalSign, например, в качестве причины последних отзывов указывает "Privilege Withdrawn" (9), т.е. "привилегии отозваны".

Домен третьего уровня shop.megafon.ru 12.06.2026 получил Wildcard-сертификат сертификат от Let's Encrypt, его судьба пока неизвестна.

✍️"Об ЭП и УЦ"

✍️Уточнение CA/B Forum правил валидации доменов

Продолжаю мониторить деятельность CA/B Forum, пока там идёт дискуссия по бюллетеню SC-103, Let's Encrypt инициирует ещё одно важное голосование - SC-101v2.

Бюллетень конкретизирует алгоритм получения доменного имени авторизации (ADN) из заявленного FQDN (полного доменного имени) при выдаче сертификатов. Текущая формулировка правил допускает опасную лазейку, так как одна из интерпретаций позволяет УЦ "срезать" метки с домена, переходить по CNAME-записям и использовать полученный домен как ADN.

Например: если example.com имеет CNAME на example.org, оператор example.org (например, CDN-провайдер) теоретически может получить сертификат для blog.example.com, не имея фактического контроля над этим поддоменом.

Что предлагается регламентировать в SC-101v2:
🔹ADN выбирается после выбора метода валидации.
🔹Переход по CNAME разрешён только для определённых методов проверки (которые работают напрямую с именем, а не через поддомены).
🔹 Срез доменного имени слева разрешен только для методов, которые сейчас позволяют выдавать сертификаты для доменов, оканчивающихся на тот же суффикс.
🔹Если используются обе операции - сначала CNAME и только потом срезка.

В бюллетень добавлена отдельная дата вступления в силу для раздела 3.2.2.5.3 (до 15 ноября 2026 года), чтобы дать УЦ время подготовиться к изменениям.

Все методы проверки по факту валидируют контроль над ADN, а не над запрошенным FQDN. Это значит, что если два домена сводятся к одному ADN - одного подтверждения контроля достаточно для выдачи обоих сертификатов.

Голосование началось и продлится до 30 июня, на момент написания поста два УЦ уже проголосовали "За".

✍️"Об ЭП и УЦ"

✍️"Выездная КЭП" заехала не туда

Как написать статью про выдачу квалифицированных сертификатов и ни разу не упомянуть это слово "сертификат" - делится Ведомости и автор мифа про СКЗИ и гостайну, профанатор простой электронной подписи Т-Банк.

Вся процедура занимает в среднем 15–20 минут. Клиент оставляет заявку, представитель банка приезжает по указанному адресу, оформляет все документы и передает готовый токен для работы.

"Готовый токен" - курьер привозит токен с уже записанным ключом ЭП и сертификатом? На каком этапе происходит генерация ключа ЭП и создание сертификата? Сертификат создаётся до идентификации при личном присутствии получателя сертификата или после?

мы предоставляем КЭП бесплатно

- понимает ли автор статьи, что такое вообще КЭП? Есть сомнения. Квалифицированный сертификат ЮЛ/ИП - бесплатный, т.к. в Порядке реализации функций УЦ ФНС России отсутствует пункт о стоимости услуг по выдаче сертификатов и через инспекции и через доверенных лиц.

✍️Об ЭП и УЦ

Только 10% компаний отказались от бумаги - исследование сервиса "Мое дело"

Результаты свежего исследования от сервиса "Мое дело" представлено в статье Известий. Оно говорит, что электронный документооборот используют 73% предпринимателей, но полностью отказаться от бкмаги смогли только 10%.

Почему остальные 90% держатся за бумагу, представлен топ-5 причин:
🔹Главная причина неготовность контрагентов - 38%.
🔹Привязка к токену и компьютеру - 33%.
🔹Сила привычки, не хотят менять налаженные процессы - 30%.
🔹Недоверие к электронной подписи - 25%.
🔹Страх сбоев и утечек - 25%.

Сумма процентов больше ста, т.к.  предприниматели сталкивались с несколькими проблемами одновременно и отмечали все подходящие варианты.

Удивительно, но в статье ничего не говорится про Госключ, будто его и нет с миллионами подписанных документов

Очень хочется написать слоган "Доверяйте электронной подписи!", только как ей доверять, когда завтра истечет сертификат и твою МЧД не примут, с бумагой бы такого не было, с тем накопленным ошибок на уровне 63-ФЗ и подзаконных актов.

Хотите верьте, хотите нет, но любую квалифицированную электронную подпись можно признать недействительной, было бы желание - несертифицированные версии СКЗИ и средств УЦ, сам факт выдачи сертификатов ГУЦ за пределами сроков использования закрытого ключа, иные вопросы к ГУЦ, псевдоаккредитации и проч. вопросы без ответов.

Важно - второе заседание Экспертного совета при Минцифры прошло успешно.

✍️Об ЭП и УЦ

📣Законопроект о поддержке развития технологий искусственного интеллекта в Российской Федерации сегодня внесен в Госдуму

🔔Переход домена ГИС ЕИС ЗАКУПКИ zakupki.gov.ru на отечественный сертификат безопасности

В связи с обязательной заменой сертификата безопасности RSA официального сайта ГИС ЕИС ЗАКУПКИ на сертификат Минцифры России пользователям ГИС ЕИС ЗАКУПКИ до 04.07.2026 необходимо:

🔹для доступа к работе с открытой частью официального сайта ГИС ЕИС ЗАКУПКИ установить сертификат при помощи автоматизированного настройщика рабочего места
🔹для использования мобильного приложения ГИС ЕИС ЗАКУПКИ установить сертификат согласно инструкции, размещенной на официальном сайте Единого портала государственных и муниципальных услуг

⚙️ Системам, осуществляющим взаимодействие с ГИС ЕИС ЗАКУПКИ или ГИС «Независимый регистратор», необходимо обеспечить установку сертификата в используемом программном обеспечении:

▫️внешним системам, региональным и корпоративным информационным системам, взаимодействующим с ГИС ЕИС ЗАКУПКИ по протоколу HTTPS c использованием международных алгоритмов (AES, RSA)*. С информацией можно ознакомиться в разделах 2.2 и 2.6.1 актуальной версии Альбома ТФФ
▫️региональным и корпоративным информационным системам, взаимодействующим с ГИС «Независимый регистратор» по протоколу HTTPS c использованием международных алгоритмов (AES, RSA)*
▫️всем информационным системам, взаимодействующим с ГИС ЕИС ЗАКУПКИ и использующим получение файлов по ссылкам из интеграционных пакетов

✔️ После установки сертификата Минцифры России проверить соединение можно с помощью страницы https://rus-ssl.zakupki.gov.ru: успешное соединение с сайтом и получение в ответ файла для скачивания означает, что настройка выполнена корректно.

❕С указанной даты работа с открытой частью официального сайта и мобильным приложением ГИС ЕИС ЗАКУПКИ, а также интеграционное взаимодействие с ГИС ЕИС ЗАКУПКИ и ГИС «Независимый регистратор» будет осуществляться только с помощью сертификата Минцифры России*

*за исключением систем, взаимодействующих с ГИС ЕИС ЗАКУПКИ или ГИС «Независимый регистратор» по протоколу HTTPS c ГОСТ-шифрованием

#ВАЖНО
#НОВОСТИ

📱 Следите за новостями ГИС ЕИС ЗАКУПКИ в MAX

🔐 Госзакупки переходят на сертификат НУЦ. Теперь окончательно

Первая попытка перехода была в 2024 году, но переход не произошел и выбор был сделан в пользу сертификата от GlobalSign с последующим получением новых.

Новость написана так

В связи с обязательной заменой сертификата безопасности RSA официального сайта ГИС ЕИС ЗАКУПКИ на сертификат Минцифры России

что можно подумать переходят на ГОСТ, но нет, алгоритмом останется тот же RSA, корень только будет от Минцифры.

Нужно сказать, что у пользователей Госзакупок сертификат от НУЦ уже будет установлен, если у них последние сертифицированные сборки КриптоПро CSP 5.0.13000 или 5.0.13003. Поэтому проще всего до 4 июля обновить сборку криптопровайдера, либо использовать браузер с установленными сертификатами НУЦ. Пользователям мобильного приложения придется немного постараться.

Количество действующих сертификатов от НУЦ приближается к 8 тыс., при общем количестве выданных 24,7 тыс. Сегодня ждём подписание федерального закона Антифрод 2.0, вносящего изменения в 63-ФЗ в части НУЦ.

✍️Об ЭП и УЦ

🔥 Подписан Федеральный закон от 26.06.2026 № 210-ФЗ (Антифрод 2.0)

Статья 6 вносит изменения в 63-ФЗ в части создания Национального удостоверяющего центра, вступает в силу норма с 1 марта 2027 года.

Пункт 5 части 2 статьи 14.1, касающейся сертификатов безопасности НУЦ, содержащих сведения об участниках электронного взаимодействия в корпоративной информационной системе и используемых для проведения их аутентификации и организации защищенного взаимодействия с ними, применяется с 1 января 2028 года.

✍️"Об ЭП и УЦ"

МИД России в Х (бывший Твиттер, заблокирован в России в марте 2022 года по решению Генпрокуратуры) возмущается удалению приложений VK - коммерческой организации в AppStore, а вот отзыву УЦ GlobalSign без оснований сертификатов безопасности более крупных организаций, в том числе государственных, МИД не возмущается, а вчера была очередная волна - шестая по счету, сертификаты были отозваны у Газпрома, Ростеха, ВЭБ.РФ.

Количество действующих сертификатов НУЦ в день подписания ФЗ о его создании составило 8213 шт. (рост более тысячи за неделю), всего выдано 24968 шт.

✍️Об ЭП и УЦ

📣Операторам ИС про CRL ГУЦ  корневого сертификата 2022 года

После 15.00 28 июня наблюдается недоступность CRL Головного УЦ по адресу http://crl.gosuslugi.ru/cdp/guc2022.crl

Если ваши информационные системы используют эту ссылку, необходимо настроить их работу на другой доступный адрес:
http://crl2.gosuslugi.ru/cdp/guc2022.crl
http://company.rt.ru/cdp/guc2022.crl
http://rostelecom.ru/cdp/guc2022.crl
http://reestr-pki.ru/cdp/guc2022.crl
либо установить CRL вручную (в первом комментарии к посту).

✍️Об ЭП и УЦ