Почему SSL/TLS-сертификат — это больше не просто техническая задача

В июне 2026 года десятки российских компаний столкнулись с внезапным отзывом SSL/TLS-сертификатов со стороны иностранных удостоверяющих центров (УЦ) — GlobalSign и Let’s Encrypt. Это системный риск, вызванный зависимостью от глобальной инфраструктуры доверия.

Сегодня SSL/TLS сертификаты — это риск цепочки поставок: где зарегистрирован УЦ, под каким правом работает, какие санкционные списки проверяет, есть ли у него право одностороннего отзыва.
И этот отзыв может произойти в любой момент без предупреждения: в выходной день или когда администратор, ответственный за сертификаты, в отпуске.

Какие сервисы под угрозой

Большинство компаний думают о сертификатах только в контексте сайта. Но реальная карта рисков значительно шире:

• Публичные домены и поддомены

• CDN, платежные шлюзы, личные кабинеты

• Интеграционные и почтовые сервисы

• Подпись программного обеспечения

Согласно опросу, проведенному среди ИТ-специалистов, только 35% ведут актуальный реестр всех своих публичных точек, использующих сертификаты. Остальные либо не обновляли его давно, либо не ведут вовсе.

Как система автоматизации управления сертификатами снижает эти риски

Автоматизированная система управления жизненным циклом SSL/TLS-сертификатов (Certificate lifecycle management — CLM) решает именно те проблемы, которые обнажила текущая геополитическая ситуация.

● Резервирование через несколько УЦ. Система может выпускать сертификаты сразу из нескольких удостоверяющих центров.

● Работа с отечественными УЦ. Это устраняет зависимость от одного поставщика: если один УЦ отзывает сертификат по санкционным или комплаенс-причинам, инфраструктура не останавливается. Также важно донести до пользователей важность установки корневого сертификата из российских УЦ для корректной работы сервисов.

● Мгновенная замена при отзыве. При внезапном отзыве сертификата со стороны УЦ система автоматически обнаруживает событие и немедленно заменяет отозванный сертификат на рабочий резервный, не требуя ручного вмешательства и без простоя сервиса. Именно это является ответом на сценарий «проснулись, а сертификат уже отозван».

● Контроль публичных точек инфраструктуры. Система формирует и поддерживает актуальный реестр всех точек, где используются сертификаты: домены, API, CDN, почта, VPN, шлюзы. Это первый и обязательный шаг, который является основой любой защиты.

● Настройка приоритезации критичных сервисов. CLM позволяет выделить сервисы, отказ которых ведет к остановке бизнес-процессов, и настроить для них больше запасных путей.

● Отработанный план переключения. В отличие от ручного подхода («купим другой сертификат, когда припечет»), система реализует заранее настроенный сценарий замены: альтернативный УЦ, ACME-профиль, ответственные, время переключения. Это отрабатывается автоматически, обеспечивая надежность системы и нулевой процент человеческих ошибок.

Наличие базового ACME-обновления не защищает от санкционного отзыва.  

При массовом отзыве сертификатов от международных удостоверяющих центров нужна многоуровневая стратегия: диверсификация УЦ, резервные сертификаты и автоматическая замена в реальном времени. У специалистов компании «Актив» можно получить консультацию по выстраиванию такой стратегии, а также подготовке к внедрению автоматизации управления технологическими сертификатами.