10 крупнейших аккредитованных удостоверяющих центров
по количеству выданных сертификатов за четыре месяца 2026 года

Статистика за аналогичный период прошлого года по ссылке.

🔹 изменения в топ-10 из-за роста выдачи сертификатов УЦ Модум (что вполне объяснимо - ранее данные сертификаты выдавал Атлас-Карт).
🔹 значительные объемы выдачи первой тройкой госУЦ, превышающие прошлый год.
🔹 рост общего количества выданных сертификатов всеми УЦ.

✍️"Об ЭП и УЦ"

🔐 Будьте в курсе новостей сферы электронной подписи, подписавшись на канал "Об ЭП и УЦ" в Telegram, основанный Павлом Дуровым*
* внесён в перечень террористов и экстремистов Росфинмониторинга

✍️"Об ЭП и УЦ"

🚨 Let's Encrypt: инцидент с кросс-сертификатами Gen Y

На прошлой неделе Let's Encrypt пришлось экстренно приостанавливать выдачу сертификатов. Причина - ошибка конфигурации кросс-сертификатов, связывающих новые корневые сертификаты поколения Gen Y с действующими корневыми X1 и X2.

🔹8 мая 2026 года Let's Encrypt опубликовал предварительный отчет об инциденте. В нарушение политики CCADB, вступившей в силу 15.06.2025, ни один из кросс-сертификатов (1, 2), созданных 03.09.2025, не содержит расширения Extended Key Usage с критически важным значением serverAuth, предназначенным для TLS.

Gen Y - новое поколение корневых и промежуточных сертификатов Let's Encrypt. Чтобы старые устройства доверяли этим сертификатам, используется кросс-сертификация: корневой сертификат Gen Y (YE или YR) подписывается действующим старым корнем (X1 или X2), который уже есть в хранилищах ОС. Без serverAuth EKU такая кросс-подпись технически не предназначена для аутентификации веб-серверов, поэтому это прямое нарушение отраслевых требований.

🔹проблема была обнаружена сторонними исследователями 08.05.2026. Let's Encrypt немедленно останавливает выдачу новых сертификатов, спустя примерно 2,5 часа изменил конфигурацию, временно переведя выдачу на иерархию Gen X, и возобновил выдачу сертификатов в штатном режиме.

❌Под вопросом валидность конечных сертификатов. Сейчас в сообществе (ветка на Bugzilla) разгорается дискуссия: представители сообщества настаивают, что проблема серьезнее, чем просто "неправильные промежуточные сертификаты". Аргумент следующий: если выпущенные кросс-сертификаты технически не совпадают с профилем, описанным в CPS Let's Encrypt (там прямо прописано наличие serverAuth EKU), то и все конечные сертификаты (LEAF) этой иерархии, выданы с нарушением регламента (CP/CPS). А это триггер для раздела 4.9.1.1(12) Базовых требований (BR), который обязывает УЦ отозвать такие конечные сертификаты.

🔹Let's Encrypt признал инцидент и готовят полный отчет в течение недели. Но пока нет ответа на вопрос, коснется ли отзыв конечных пользовательских сертификатов. Если ответ будет положительным и потребуется массовая смена, то это может стать самым масштабным инцидентом в мировом PKI.

Let's Encrypt - лидер по объему выданных сертификатов безопасности для сайтов Рунета, более 85% по итогам 2025 года.

P.S. В комментариях упоминается вторая ошибка: поле Organization в Subject содержит не эталонное для LE значение "Let's Encrypt", что является дополнительным нарушением CPS.

✍️"Об ЭП и УЦ"

✍️Let's Encrypt не будет отзывать сертификаты пользователей

Час назад представитель Let's Encrypt Аарон Гейбл сообщил, что сертификаты пользователей не были выданы ошибочно, их не будут отзывать в рамках реагирования на данный инцидент. Let's Encrypt предоставит полные ответы на вопросы одновременно с публикацией полного отчета об инциденте.

Давайте подумаем, почему это произошло, почему в кросс-сертификатах Gen Y, созданных 03.09.2025, расширение отсутствовало.

Чтобы понять причину нужно разделять:
🔹промежуточные сертификаты Gen Y - непосредственно участвуют в выдаче TLS-сертификатов для сайтов. У них в EKU корректно указан только serverAuth. Именно это позволило запустить профиль tlsserver без clientAuth.
🔹кросс-сертификаты - сертификаты совместимости, созданы подписанием публичного ключа нового корня Gen Y старым корнем. Именно в них расширение EKU ошибочно отсутствовало.

Кажется, что ошибка выглядит как сбой валидации профиля: проверялось отсутствие "лишнего" (clientAuth), но не проконтролировали обязательное наличие "нужного" (serverAuth). С точки зрения логики Gen Y курс на "очистку" EKU соблюден, а с точки зрения CCADB - критическое нарушение.

Из-за этого инцидента были отложены три важных обновления, запланированных на 13 мая:
🔹сокращение срока действия сертификатов для профиля tlsserver с 90 до 45 дней.
🔹прекращение поддержки профиля tlsclient с 8 июля 2026 года.
🔹перевод профиля classic на использование промежуточных сертификатов Gen Y.

Соответствующий комментарий

The switch to Generation Y intermediaries announced here will be delayed.

появился в ветке обсуждения на community.letsencrypt.org.

Ошибку обнаружили эксперты из организаций Mozilla, DigiCert, Sectigo, которые участвуют в разработке и развитии стандартов WebPKI.

Отдельно отмечу, как оперативно сотрудники Let's Encrypt сработали по внешнему сигналу, получив информацию немедленно отреагировали - остановили выдачу, подтвердили проблему и опубликовали предварительный отчёт. Вот бы ответственные лица за Головной УЦ также быстро бы реагировали.

✍️"Об ЭП и УЦ"

Переход на электронные документы состоялся, а вот их долгосрочное хранение только начинается. Практики не хватает, подходы разнятся и решения, которые действительно работают, сегодня ищут многие.

Более 500 руководителей и специалистов делопроизводственных и архивных служб соберутся 21-22 мая в ГК Cosmos Moscow на Всероссийском профессиональном форуме АРХИВЫ-2026 «Архивы и технологии: перспективы развития и точки роста».

В рамках форума запланированы: выставка, конференция, мастер-классы, круглые столы, сессии, разбор реальных кейсов, демонстрация решений, нетворкинг и другие различные активности. Готовимся к невероятно актуальной и насыщенной повестке. Это уже не просто анонс, а чёткое понимание, зачем там нужно быть:
 
https://assud.ru/professionalnyj-forum-arhivy-2026/
 
Вы в числе тех, кто формирует отрасль или тех, кто потом догоняет?
Присоединяйтесь к профессиональному сообществу!

✍️Телеграм-канал «Об УЦ и ЭП» — информационный партнер форума.

Спецсвязь ФСО России ликвидирована как самостоятельное юрлицо

Федеральная служба охраны - наследник структур государственной охраны КГБ СССР. Входящая в её состав Служба специальной связи и информации была создана в 2003 году после упразднения ФАПСИ, унаследовав задачи по правительственной связи и криптозащите.

Согласно данным ЕГРЮЛ (Rusprofile), 25.03.2026 деятельность Спецсвязи ФСО России как отдельного юрлица прекращена. Способ - реорганизация в форме присоединения. Правопреемником указано Управление информационно-телекоммуникационного обеспечения Спецсвязи ФСО России, зарегистрированное 28.01.2026 как самостоятельное юрлицо.

Спецсвязь ФСО обеспечивает специальные виды связи для высших должностных лиц (включая шифрованную), выступает оператором системы межведомственного электронного документооборота (МЭДО) и сети RSNet для органов власти. В её задачи также входят криптографическая защита информации и противодействие технической разведке. Структура ведомства включает региональные Центры специальной связи и информации (ЦССИ).

Ликвидация Спецсвязи как юрлица с передачей функций созданному УИТО подчёркивает продолжающуюся централизацию и техническую модернизацию системы правительственной связи в условиях новых реалий.

✍️"Об ЭП и УЦ"

Представители ИП могут получить доступ в ЛК ИП по доверенности ⤵️

Количество таких пользователей не ограничено.

Для получения доступа по доверенности необходима:

🔴 квалифицированная электронная подпись на физическое лицо
🔴 доверенность со всеми полномочиями (МЧД), выданная в отношении уполномоченного представителя

Более 4 млн пользователей ЛК ИП могут воспользоваться новой возможностью сервиса.

📲 Электронную доверенность (МЧД) можно оформить здесь.

📝 При наличии бумажной доверенности представителю будет доступен только просмотр сведений в ЛК по ИП.

👆 Подписывайтесь на наш канал в MAКСЕ

1️⃣2️⃣3️⃣

#важно_знать