Сертификаты Минцифры: не открываются сайты банков — как починить на ПК, iPhone и Android
Памятка · 2026-08-28 · 11 мин чтения
Сотрудник заходит в клиент-банк, а браузер вместо страницы показывает предупреждение: «Подключение не защищено» или «Сертификат сайта недействителен». Работа встаёт, человек идёт к вам. Это не вирус и не поломка сайта — на компьютере просто нет российских корневых сертификатов.
На телефоне история та же: Госуслуги или сайт банка в Safari отказываются открываться, а приложение пишет, что сертификат недействителен. Причина одна и та же, но чинится иначе — про телефоны и планшеты есть отдельный раздел ниже.
Откуда взялась проблема
Каждый сайт с «замочком» предъявляет браузеру TLS-сертификат — документ, подтверждающий, что вы попали именно туда, куда собирались. Раньше такие сертификаты российским компаниям выдавали зарубежные удостоверяющие центры. С 2022 года многие из них перестали работать с российскими организациями: продлевать выданное стало нельзя.
Ответом стал Национальный удостоверяющий центр Минцифры (НУЦ) — он выдаёт TLS-сертификаты российским сайтам бесплатно. Проблема в одном: браузеры и операционные системы, разработанные за рубежом, про этот центр ничего не знают. Для Windows, macOS, Chrome и Safari сертификат от неизвестного центра выглядит подозрительно — отсюда и предупреждение.
Лечится это установкой корневого сертификата — по сути, вы говорите своему устройству: «этому центру можно доверять».
Кого это касается
Чаще всего на стену натыкаются при заходе на:
- Госуслуги и порталы ведомств - сайты банков, клиент-банки и инвестиционные приложения - платёжные шлюзы — оплата может обрываться на моменте ввода карты - сайты операторов связи и провайдеров
Для бизнеса самое болезненное — второе и третье: бухгалтер не может отправить платёжку, а интернет-магазин теряет клиента прямо на оплате.
Способ первый: браузер, который всё знает
Самый быстрый путь, если чинить надо здесь и сейчас: открыть проблемный сайт в Яндекс Браузере или браузере Атом. В них корневые сертификаты НУЦ уже встроены, устанавливать ничего не нужно.
Это решение в одно действие, и для «одного бухгалтера, которому срочно» его обычно достаточно. Но держать два браузера ради одного сайта неудобно, поэтому дальше — как починить систему целиком.
Способ второй: установить сертификат в систему
Единственный официальный источник — портал Госуслуг, страница gosuslugi.ru/crt. Это важно: по теме сертификатов расплодилось много фишинга. Ссылки из мессенджеров, писем и поисковой рекламы могут вести на подделку, а установка чужого корневого сертификата даёт злоумышленнику возможность читать ваш шифрованный трафик. Набирайте адрес руками.
На странице нужно выбрать свою операционную систему и скачать два файла: Russian Trusted Root CA (корневой) и Russian Trusted Sub CA (промежуточный). Ставить нужно оба.
Windows
1. Скачайте оба сертификата с Госуслуг. 2. Дважды кликните по файлу → «Установить сертификат». 3. Выберите «Локальный компьютер» — тогда сертификат будет работать для всех пользователей ПК. 4. Отметьте «Поместить все сертификаты в следующее хранилище» → «Обзор» → «Доверенные корневые центры сертификации». 5. Повторите для второго файла и перезапустите браузер.
macOS
1. Скачайте оба файла, откройте их — запустится «Связка ключей». 2. Добавьте сертификаты в связку «Система». 3. Найдите в списке Russian Trusted Root CA, откройте двойным щелчком. 4. Разверните «Доверие» и в поле «При использовании этого сертификата» выберите «Всегда доверять». 5. Закройте окно, введите пароль администратора, перезапустите браузер.
Телефон и планшет: здесь ломается чаще всего
На компьютере установка сертификата — рутина. На телефоне это самое частое обращение, и почти никогда дело не в невнимательности: мобильные системы устроены так, что можно честно пройти всю инструкцию и получить нерабочий результат, потому что один неочевидный шаг спрятан в другом разделе настроек.
У iPhone и у Android этот шаг разный, поэтому разберём по отдельности.
iPhone и iPad
На iOS сертификат ставится в два приёма: сначала система принимает файл, а потом вы отдельно разрешаете ему доверять. Между этими действиями телефон выглядит так, будто всё уже готово, — вот главная ловушка.
1. Откройте gosuslugi.ru/crt в Safari. Другие браузеры на iPhone профиль не установят — Apple разрешает это только штатному. Если вы перешли по ссылке из мессенджера, она откроется во встроенном браузере приложения и ничего не произойдёт: скопируйте адрес и вставьте в Safari руками. 2. Скачайте сертификат. Safari спросит разрешение на загрузку профиля конфигурации — разрешите. 3. Откройте Настройки → Основные → VPN и управление устройством. Загруженный профиль ждёт вас там: сам он не устанавливается. Нажмите на него, затем «Установить», введите код-пароль. 4. Обязательный шаг, без которого всё бесполезно: Настройки → Основные → Об этом устройстве → Доверие сертификатам. Включите переключатель напротив Russian Trusted Root CA. 5. Закройте Safari полностью — свайпом из списка запущенных приложений, а не просто вернувшись на рабочий стол, — и откройте заново.
Пропустите четвёртый пункт, и ничего не изменится. Именно поэтому так часто пишут «установил, а не работает»: профиль честно числится установленным, но пока переключатель доверия выключен, браузер сертификат не признаёт.
На iPad всё то же самое, названия пунктов не отличаются.
«Скачалось два файла» и «второй не устанавливается»
Так и должно быть. Сертификатов в цепочке два: корневой (Russian Trusted Root CA) и промежуточный (Russian Trusted Sub CA). Нужны оба — без промежуточного браузер не сможет связать сертификат банка с корневым, и предупреждение останется.
Отсюда же и частое недоумение на iPhone: переключатель в «Доверии сертификатам» появляется только у корневого. Промежуточному отдельное разрешение не требуется — если он числится установленным, с ним всё в порядке. Не ищите для него второй переключатель, его там не будет.
Android
1. Скачайте оба файла с gosuslugi.ru/crt — они попадут в «Загрузки». 2. Настройки → Безопасность → Шифрование и учётные данные → Установка сертификата → Сертификат ЦС. 3. Откроется выбор файла — укажите скачанный сертификат именно отсюда. 4. Повторите для второго файла.
Ключевой момент в третьем пункте. На Android 11 и новее нажатие на скачанный файл прямо в «Загрузках» обычно не даёт ничего: система не знает, чем его открыть, и молча игнорирует. Сертификат нужно выбирать изнутри настроек, тем самым установщиком из второго пункта. Если вы «тыкали в файл, а он не открывается» — причина в этом, а не в файле.
Пути в меню зависят от оболочки: на Samsung это «Биометрия и безопасность → Другие параметры безопасности», на Xiaomi — «Пароли и безопасность → Конфиденциальность». Проще всего набрать «сертификат» в поиске по настройкам — он есть почти везде.
Android предупредит, что установка стороннего сертификата снижает безопасность. Это штатное предупреждение, оно показывается для любого добавленного вручную сертификата, а не признак того, что файл плохой.
Браузер открывает, а приложение банка — нет
Случай, который сбивает с толку сильнее всего: сайт банка в браузере заработал, а мобильное приложение по-прежнему ругается на сертификат.
Причина в устройстве Android. Начиная с седьмой версии приложения по умолчанию доверяют только сертификатам, встроенным в систему производителем, и не видят добавленные пользователем. Ваш сертификат установлен корректно — приложение просто не заглядывает в то хранилище, куда он попал. На стороне телефона это не лечится.
Что помогает:
- Обновить приложение банка. Банки давно выпустили версии, работающие с сертификатами НУЦ напрямую, — чаще всего достаточно обновления. - Пока не обновились — пользоваться веб-версией клиент-банка в браузере, там сертификат уже работает. - Если приложение свежее и всё равно не пускает, вопрос к банку, а не к вашему устройству.
На iPhone такой проблемы обычно нет: приложения используют общее системное хранилище, и включённого доверия достаточно для всех сразу.
Если рабочие телефоны выданы компанией
Просить два десятка сотрудников самостоятельно пройти эти шаги — способ гарантированно получить два десятка разных результатов. Корпоративные устройства настраиваются через систему управления мобильными устройствами (MDM): сертификат раскатывается профилем на все телефоны разом, включая те, что выдадут новому сотруднику через полгода.
Если у вас парк компьютеров
Обходить два десятка рабочих мест руками — плохая идея: кто-то поставит не туда, кто-то пропустит второй файл, а через полгода придёт новый сотрудник с чистым ноутбуком.
В домене сертификаты раскатываются групповой политикой: Конфигурация компьютера → Политики → Конфигурация Windows → Параметры безопасности → Политики открытого ключа → Доверенные корневые центры сертификации. Импортируете оба файла один раз — они появляются на всех машинах домена автоматически, включая те, что подключат завтра.
Без домена задача решается скриптом при входе или через систему управления рабочими местами.
Есть и обходной путь, который на парке машин часто оказывается дешевле возни с сертификатами: поставить всем корпоративный Яндекс Браузер. Российские сертификаты, включая НУЦ, в нём уже встроены, он бесплатен для организаций, разворачивается тем же MSI через доменные политики и управляется централизованно — больше трёхсот настроек, от стартовой страницы до запрета опасных загрузок. Работает на Windows, macOS, Linux и российских ОС. Скачать сборку можно на сайте Яндекса — мы участвуем в их партнёрской программе.
Важная оговорка: браузер решает вопрос только внутри себя. Приложения банков и другие программы обращаются к системному хранилищу сертификатов, поэтому на машинах, где ими пользуются, сертификаты всё равно нужно поставить. Одно другого не отменяет — обычно делают и то, и другое, одной групповой политикой.
Если разбираться с этим на весь офис некогда — мы разворачиваем и настраиваем браузер под ключ.
Как проверить, что всё получилось
Откройте сайт, который раньше не открывался, и щёлкните по замочку в адресной строке. В свойствах сертификата в цепочке должен быть виден Russian Trusted Root CA, а предупреждений быть не должно. Если ошибка осталась, почти всегда причина в одном из пяти:
- установлен только корневой сертификат, без промежуточного; - на iPhone профиль установлен, но не включено доверие в «Об этом устройстве»; - на Android файл открывали из «Загрузок», а не через установщик в настройках; - браузер не перезапущен после установки — на телефоне его нужно именно закрыть, а не свернуть; - не открывается только приложение банка, а сайт в браузере уже работает — тогда дело в приложении, его нужно обновить.
Стоит ли этого бояться
Вопрос закономерный: установка чужого корневого сертификата — действие серьёзное, и относиться к нему нужно ответственно. Здесь важно различать два момента.
Сертификат, скачанный с официального портала Госуслуг, — это тот же механизм доверия, что и десятки корневых сертификатов, уже предустановленных в вашей системе производителем. Вы расширяете список центров, которым доверяете, ровно на один.
А вот сертификат, скачанный по ссылке из письма или мессенджера, — реальная угроза: он позволит владельцу расшифровывать ваш трафик, включая пароли и данные карт. Разница между безопасным и опасным действием здесь только в источнике файла.
Поэтому правило простое: адрес Госуслуг набираем руками, файлы из других источников не ставим никогда.
Коротко
- Сайты банков и госпорталов перешли на сертификаты НУЦ Минцифры, а зарубежные ОС о нём не знают. - Быстрое решение — Яндекс Браузер или Атом, там всё встроено. - Системное решение — установить два сертификата, корневой и промежуточный, с gosuslugi.ru/crt. - На iPhone и iPad открывать страницу только в Safari и обязательно включить доверие: Настройки → Основные → Об этом устройстве → Доверие сертификатам. - На Android выбирать файл через Установка сертификата → Сертификат ЦС, а не нажатием в «Загрузках». - Если браузер уже открывает сайт, а приложение банка нет — обновите приложение. - В компании — раскатывать групповой политикой на компьютеры и профилем MDM на телефоны, а не руками.
Если разбираться некогда, а работа встала — напишите нам: настроим рабочие места, а в домене раскатаем сертификаты на весь парк разом. Это входит в ИТ-поддержку с SLA.