Наверное, каждый хоть раз сталкивался с такой ситуацией: открываешь какой-то сайт, а там вместо ожидаемой информации — предупреждение «Подключение не защищено»:
Я, как опытный пользователь, отношусь к этому совершенно спокойно и знаю что делать. А вот рядовой пользователь часто воспринимает подобную ситуацию как признак недобросовестности сайта или попытку мошенничества. Срабатывает инстинкт самосохранения: пользователь старается закрыть страницу как можно быстрее.
Думаю, вы знаете, что я сам пользуюсь множеством сайтов и онлайн-сервисов и рекомендую их вам. Так вот, периодически получаю сообщения, связанные напрямую с подобной ситуацией. Звучат они примерно так: «Зачем вы советуете мошеннический сайт?«. Причем попытки объяснить в чем действительно дело, мало кому интересны.
Пикантности этой ситуации добавляет то, что последнее время подобные предупреждения начали появляться на сайтах и сервисах, которые в понимании обычного пользователя априори не могут быть мошенническими: Госуслуги, Сбер, налоговая и т.п.
Давайте разберемся, почему появляется предупреждение «Подключение не защищено» и что с этим делать.
Что вообще такое сертификат безопасности
Чтобы не углубляться в дебри терминов, начну с примера, понятного каждому. Что такое паспорт? Формально — книжечка с фотографией. А по сути — гарантия государства: да, этот человек именно тот, за кого себя выдаёт. Вы показываете паспорт в банке или в аэропорту, и никто не задаёт лишних вопросов — документ признают, и вы спокойно занимаетесь своими делами.
Сертификат безопасности — это такой же «паспорт», только выданный не человеку, а сайту. Он подтверждает, что перед вами настоящий сайт, а не подделка, и заодно шифрует данные, которыми вы с ним обмениваетесь: пароли, номера карт, личные сведения. Именно благодаря сертификату в адресной строке появляется тот самый замочек.
До 2022 года такие «паспорта» российским сайтам выдавали зарубежные центры сертификации. Их признавали все браузеры мира, и проблем не возникало.
Что пошло не так
В 2022-м зарубежные центры сертификации начали массово отказывать российским организациям в выдаче и продлении сертификатов. Санкции добрались даже до этой, казалось бы, сугубо технической сферы. Часть российских сайтов осталась буквально «без документов»: сайты работают, а браузеры начинают считать их подозрительными.
Выход нашли быстро. Минцифры создало национальный удостоверяющий центр, который начал выдавать российские сертификаты — бесплатно и, как утверждают специалисты, ничуть не менее стойкие, чем зарубежные: отечественная криптография традиционно считается одной из самых надёжных в мире.
Госуслуги, банки, налоговая и многие другие важные сервисы получили новые «документы». Казалось бы, живи и радуйся. Но тут всплыл нюанс.
Почему браузер всё равно ругается
Дело в том, что у каждого браузера — Chrome, Safari, Edge и прочих — есть встроенный список «паспортов», которые он признаёт. Представьте пограничника: документ может быть настоящим, но если страна не признаёт государство, которое его выдало, вас просто не пустят.
Минцифры в зарубежные списки не входит, и по понятным причинам добавлять его туда никто не собирается. Поэтому Chrome, увидев российский сертификат, честно предупреждает: «Кто выдал этот документ, я не знаю, за безопасность сайта поручиться не могу». Отсюда и красный экран с надписью «Подключение не защищено».
Парадокс в том, что сайт — настоящий, сертификат — настоящий, защита — настоящая. Браузер просто не верит российскому «паспорту».
Кстати, не все российские сайты перешли на отечественные сертификаты: часть по-прежнему пользуется зарубежными. Поэтому где-то всё открывается как раньше, а где-то — с предупреждением. Отсюда и путаница у пользователей: вчера сайт работал нормально, а сегодня вдруг «ругается».
Почему из-за этого не проходят платежи
Теперь про самое неприятное — про деньги. Некоторые подписчики писали мне, что у них просто не проходит оплата: вводишь данные карты, жмёшь кнопку — и ошибка.
Механика простая. Когда вы оплачиваете покупку, сайт на мгновение соединяется с платёжным шлюзом банка. Если шлюз работает с российским сертификатом, а ваш браузер ему не доверяет, защищённое соединение разрывается ещё до того, как платёж ушёл в банк. Деньги никто не списал, банк вообще не понял, что вы хотели заплатить. Виноватых среди людей тут нет: это «недопонимание» между браузером и сертификатом.
При чём тут Яндекс Браузер
Помните, я недавно писал, что в ВК в меню слева появился отдельный пункт «Яндекс.Браузер» и мы обсуждали, с чем это связано?
Так вот, теперь, когда мы во всём разобрались, стало понятно и то, с чем это связано. Ответ, пожалуй, уже очевиден: всё дело в сертификатах. В Яндекс Браузере сертификат Минцифры внесён в список доверенных изначально. Для них российский «паспорт» — нормальный рабочий документ: сайты открываются, замочек горит, платежи проходят.
Никто не заставляет вас отказываться от привычного Google Chrome. Я, например, продолжаю пользоваться Хромом как основным браузером: новости, YouTube и соцсети листаю именно в нем, а всё «серьёзное» — Госуслуги, налоговую, онлайн-банк, оплаты — открываю в Яндекс Браузере. Держать его установленным ради таких случаев — дело двух секунд, зато нервы целее.
Если менять браузер совсем не хочется
Есть путь и для принципиальных: корневой сертификат Минцифры можно скачать (он в открытом доступе, например на Госуслугах) и вручную добавить в доверенное хранилище системы. Тогда и зарубежный браузер начнёт «узнавать» российские сертификаты.
После обновлений системы сертификат иногда «слетает», и процедуру приходится повторять.
Вместо заключения
История с сертификатами Минцифры — тот случай, когда большая политика добралась до вещей, казалось бы, сугубо технических. Но для обычного пользователя хорошая новость в том, что проблема решается за минуту: достаточно понимать, что происходит, и держать под рукой «правильный» браузер для важных дел.
Ну а предупреждения «Подключение не защищено» — это не всегда мошенники и не всегда вирус. Иногда это просто браузер, который не признаёт чужие «паспорта».
Расскажите в комментариях: сталкивались ли вы с предупреждением «Подключение не защищено»? На каких сайтах? И что обычно делали в таких случаях?
