Альтернативный способ — установка сертификатов Минцифры

Установка российских сертификатов Минцифры — это действительно основной способ восстановить полноценную работу сайтов, использующих отечественные технологии шифрования (ГОСТ), после того как зарубежные центры сертификации отзывают или перестают признавать их SSL/TLS-сертификаты.

Без этих сертификатов браузеры помечают такие ресурсы (например, портал «Госуслуги», сайты крупных банков и государственных ведомств) как небезопасные.

Зачем нужны эти сертификаты?

Доступ к ресурсам: позволяют открывать российские государственные порталы, личные кабинеты банков и другие сервисы без ошибок безопасности в браузере.
Отечественное шифрование: обеспечивают поддержку алгоритмов ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, которые требуются по законодательству РФ для защиты данных в ряде информационных систем.
Независимость инфраструктуры: снижают зависимость российского сегмента интернета от решений иностранных удостоверяющих центров.

Какие именно сертификаты устанавливаются?

Речь идет о корневых сертификатах Национального удостоверяющего центра (НУЦ) Минцифры России:

Корневой сертификат НУЦ Минцифры России (Russian Trusted Root CA).
Подчиненный (выпускающий) сертификат НУЦ Минцифры (иногда его называют промежуточным). Именно цепочка доверия, заканчивающаяся на этом корневом сертификате, позволяет браузеру подтвердить подлинность сайта.

Как установить сертификаты

Процесс зависит от операционной системы и браузера. Самый надежный источник актуальных файлов инструкций и самих сертификатов — официальный портал.

На Windows

Самый универсальный способ — ручная установка через стандартное хранилище сертификатов ОС:

Скачайте файлы корневого (rootca.cer) и выпускающего (subca.cer) сертификатов с сайта Госуслуг или gu-st.ru.
Нажмите Win + R, введите certmgr.msc и нажмите Enter.
В левой панели раскройте «Доверенные корневые центры сертификации» → «Сертификаты».
В меню выберите «Действие» → «Все задачи» → «Импорт…».
В мастере импорта укажите путь к файлу rootca.cer. Выберите автоматическое определение типа хранилища (или вручную укажите «Доверенные корневые центры сертификации»).
Повторите процедуру для папки «Промежуточные центры сертификации», установив файл subca.cer.
Перезапустите браузер. Примечание: Официальный установщик от Минцифры часто делает всё это автоматически и добавляет корневой сертификат также в хранилище «Сторонние корневые центры сертификации» для совместимости со старыми приложениями.

На macOS

Скачайте .cer файлы.
Откройте программу «Связка ключей» (Keychain Access, находится в Программы/Утилиты).
Перейдите в категорию «Система» или «Вход» (лучше в «Система», если нужен доступ всем пользователям Mac).
Перетащите скачанные файлы в окно программы.
Найдите добавленные сертификаты (они будут называться Russian Trusted Root CA / Ministry of Digital Development and Communications). Дважды кликните на каждый из них.
Разверните пункт «Доверие» и в выпадающем меню «При использовании этого сертификата» выберите «Всегда доверять». Система может запросить пароль администратора.
Закройте окно и перезапустите браузер.

На Linux (на примере Debian/Ubuntu)

Установка производится в общесистемное хранилище NSS и OpenSSL:

# Обновление списка доверенных центров
sudo update-ca-certificates

# Копирование сертификатов в директорию локальных дополнений
sudo cp rootca.cer /usr/local/share/ca-certificates/Russian_Trusted_Root_CA.crt
sudo cp subca.cer /usr/local/share/ca-certificates/Russian_Subordinate_CA.crt

# Пересборка хранилища
sudo update-ca-certificates

Для работы в браузерах на базе Chromium (Google Chrome, Яндекс Браузер) этого достаточно. Для Firefox потребуется либо импортировать сертификаты вручную в настройки браузера, либо настроить его на использование системного хранилища через политики.

В мобильных устройствах

Android: скачивается специальный .crt файл. После открытия система предложит установить его в раздел «Надежные учетные данные» (Настройки → Безопасность → Шифрование и учетные данные). Начиная с Android 14 многие производители требуют дополнительную настройку приложений для использования пользовательских сертификатов.
iOS/iPadOS: скачивается профиль конфигурации (.mobileconfig). Установка происходит через «Настройки» → «Основные» → «VPN и управление устройством». После установки профиля необходимо зайти в «Настройки» → «Основные» → «Об этом устройстве» → «Настройки доверия сертификатов» и включить тумблер для нового корневого сертификата.

Особенности работы в браузерах

Яндекс Браузер и Atom: поддерживают российские сертификаты из коробки благодаря встроенному КриптоПро CSP или собственному хранилищу. Часто ничего устанавливать не нужно, но актуальная версия установщика Минцифры все равно рекомендуется для корректной работы других программ.
Google Chrome, Edge, Opera (Chromium): используют системное хранилище сертификатов ОС. Поэтому достаточно выполнить установку на уровне Windows/macOS/Linux.
Mozilla Firefox: использует собственное хранилище сертификатов, игнорируя системное. Сертификаты придется устанавливать вручную через настройки браузера: «Приватность и защита» → «Просмотр сертификатов» → «Центры сертификации» → «Импортировать». Либо использовать корпоративные политики (policies.json), чтобы принудительно добавить нужные корни.

Важные нюансы безопасности

Источник загрузки: устанавливайте сертификаты только с официальных ресурсов (gosuslugi.ru, сайт Минцифры, gu-st.ru). Использование сторонних архивов несет риск подмены файла злоумышленниками.
Принцип минимальных привилегий: не устанавливайте лишние сертификаты. Если вам нужен доступ только к конкретному сайту банка, иногда безопаснее дождаться выпуска им международного сертификата или установить сертификат конкретного узла, а не весь корень НУЦ, хотя для большинства публичных сервисов требуется именно корневой.
Срок действия: регулярно проверяйте срок действия установленных сертификатов и обновляйте их при необходимости.
Корпоративная среда: в организациях централизованная установка обычно выполняется через групповые политики (GPO) в Windows Mobile Device Management (MDM) в корпоративных сетях Apple.