Mintsifri sertifikatı: nədir, quraşdırmaq lazımdırmı və necə silməli

Mintsifri sertifikatı (Rusiya Rəqəmsal İnkişaf Nazirliyinin sertifikatı) Milli Sertifikatlaşdırma Mərkəzinin (NUTs) Russian Trusted Root CA kök sertifikatıdır. O, Chrome, Safari, Edge və Firefox-un Rusiya TLS sertifikatları olan saytları xəbərdarlıqsız açması üçün lazımdır: 31 oktyabr 2026-cı ildə apardığımız yoxlamaya görə, onlarla Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselxozbank və Sovkombank saytları işləyir. Onu quraşdırmaq məcburi deyil: Yandex Browser belə sertifikatları özü tanıyır, bankların tətbiqləri isə, bir qayda olaraq, onsuz da işləyir. Quraşdırmanın əleyhinə əsas arqument: kök sertifikat təkcə bank saytının deyil, istənilən saytın həqiqiliyini təsdiqləməyə imkan verir.

Mintsifri sertifikatı və NUTs nədir?

NUTs 2022-ci ildən Gosuslugi (dövlət xidmətləri portalı) vasitəsilə Rusiya saytlarına pulsuz TLS sertifikatları verən dövlət sertifikatlaşdırma mərkəzidir. Quraşdırmağı xahiş etdikləri Mintsifri sertifikatı onun köküdür: quraşdırıldıqdan sonra cihazın NUTs tərəfindən buraxılmış bütün sertifikatlara etibar etməyə başladığı fayl.

Zəncir istənilən HTTPS saytında olduğu kimi qurulub. Sayt öz sertifikatını təqdim edir, onu Russian Trusted Sub CA buraxan mərkəzi imzalayıb, onu isə Russian Trusted Root CA kökü imzalayıb. Brauzer sayta yalnız kök onun anbarında olduqda etibar edir.

Faylları Gosuslugi serverindən yüklədik və içində nə olduğuna baxdıq:

Son sətir yüklənmiş faylı yoxlamaq üçün lazım olacaq: kökün tam barmaq izi CA:8E:CF:31 ilə bitir. Sber-in onlayn bankının saytı da zəncirdə eyni kökü verir.

Yad və ictimai şəbəkələrdə qorunan bağlantı üçün BessyConnect-i məsləhət görürük: bu, Reality maskalanması ilə VLESS üzərində VPN-dir, trafiki adi HTTPS kimi görünür. O, Mintsifri sertifikatını əvəz etmir, niyə — aşağıda izah edirik.

Gosuslugi və banklar niyə onu quraşdırmağı xahiş edir?

Çünki 2026-cı ilin yayında iri banklar NUTs sertifikatlarına keçib, Chrome, Safari, Edge və Firefox isə onlara etibar etmir. Mintsifri kökü olmadan belə saytlar «Bağlantı qorunmur» xətası ilə açılır.

«Kod»un 5 avqust 2026-cı il tarixli məlumatına görə, 13 iyunda GlobalSign sanksiya siyahılarındakı şirkətlər haqqında CA/Browser Forum qaydalarına istinad edərək Rusiya təşkilatlarının bir qismindən sertifikatları geri çağırmağa başlayıb. İyulun sonu və avqustun əvvəlində beynəlxalq sertifikatsız qalan banklar NUTs-a keçib. TKS.RU Forbes-ə istinadən Sberbank, VTB, Rosselxozbank, Uralsib, Alfa-Bank, PSB və «Sankt-Peterburq» bankını adlandırır.

Sber bu barədə xəta səhifəsində açıq yazır. Onun saytını NUTs kökü olmadan Chrome-da açdıq və belə mesaj aldıq: «Ola bilsin, sizdə Rusiya Mintsifri Milli SM-in sertifikatları quraşdırılmayıb», Gosuslugi təlimatlarına keçidlə.

Bununla belə, Gosuslugi-nin özü hələ xarici sertifikatla işləyir. 31 oktyabr 2026-cı il tarixinə kimin nə ilə imzalandığı:

Mənzərə dəyişir: Gosuslugi sertifikatının müddəti dekabrda bitir və onu nə ilə əvəz edəcəkləri məlum deyil. 26 oktyabr 2026-cı ildə SecurityLab xəbər verdi ki, Rusiya Banklar Assosiasiyası Mintsifri-dən NUTs sertifikatlarının smartfonlarda əvvəlcədən quraşdırılmasını məcburi etməyi xahiş edib. Nazirlik müraciətin alındığını təsdiqləyib, amma hələ belə tələb yoxdur.

Hansı brauzerlər Rusiya sertifikatlarını dəstəkləyir?

Tənzimləməsiz NUTs sertifikatlarını Yandex Browser (2022-ci ildən) və Chromium-GOST yığımı tanıyır. Chrome, Safari, Edge və Opera onlara yalnız kök sistemə quraşdırıldıqdan sonra, Firefox isə kök onun öz parametrlərinə əlavə edildikdən sonra etibar etməyə başlayır.

31 oktyabr 2026-cı ildə üç əsas kök anbarını yoxladıq: Russian Trusted Root CA nə Chrome Root Store-da (95 kök), nə Mozilla siyahısında, nə də macOS-un sistem anbarında var.

Google-un sənədlərinə görə, Windows-da Chrome istifadəçinin «Trusted Root Certification Authorities» anbarına əlavə etdiyi kökləri, Mac-də isə «Keychain Access»dəki «Always Trust» işarəli sertifikatları götürür. Ona görə də sistemə quraşdırma onun əsasında işləyən bütün brauzerlərdə etibarı birdən açır.

Mintsifri sertifikatını quraşdırmaq lazımdırmı və bu, təhlükəlidirmi?

Qanun istifadəçiləri NUTs kökünü quraşdırmağa məcbur etmir. Qərar brauzerdə bank saytlarının sizə lazım olub-olmamasından asılıdır. Risk ondadır ki, quraşdırılmış kök təkcə Rusiya saytının deyil, istənilən saytın həqiqiliyini təsdiqləyə bilər.

Bu, bizim yoxlamada görünür: Mintsifri kökündə onu .ru domenləri və ya təşkilatlar siyahısı ilə məhdudlaşdıracaq Name Constraints genişlənməsi yoxdur. Android istənilən belə sertifikatı quraşdırarkən özü xəbərdarlıq göstərir: «Quraşdırılmış sertifikatın sahibi saytlarda və tətbiqlərdə daxil etdiyiniz məlumatlara (məsələn, parollara və bank kartı rekvizitlərinə), hətta bu məlumatlar şifrələnmiş olsa belə, giriş əldə edə bilər».

Mütəxəssislərin qiymətləri fərqlidir.

• Əsas cihaza quraşdırmanın əleyhinə. Kiber-vəkil Sarkis Darbinyan 6 avqust 2026-cı ildə «Novaya qazeta Yevropa»da Mintsifri sertifikatını məktubu aça bilən «senzor» adlandırıb və «ortadakı adam» (man-in-the-middle) hücumu imkanı barədə xəbərdarlıq edib. O, bankın tətbiqindən, Yandex Browser-dən və ya ayrıca cihazdan istifadə etməyi məsləhət görür.
• Risk bütün köklər üçün ümumidir. TKS.RU-nun 5 avqust 2026-cı il tarixli icmalında (Forbes materialları əsasında) ekspertlər geniş etibar imkanını NUTs-un xüsusiyyəti deyil, istənilən kök sertifikatlar infrastrukturunun xassəsi adlandırır. Rusiya sertifikatı ilə HTTPS şifrələməsi qorunur.
• Sənayenin mövqeyi. Yandex Browser-in rəhbəri İlya Şibanov 7 oktyabr 2026-cı ildə «Kod»a şərhində deyib ki, milli sertifikatlar «yeni etibar infrastrukturunun bir hissəsinə çevrilir».

Presedent də var. 2019-cu ildə Qazaxıstan provayderləri abunəçilərdən dövlət kök sertifikatını quraşdırmağı xahiş edirdi və Mozilla 21 avqust 2019-cu ildə bloqunda yazdı ki, o, trafiki ələ keçirməyə və deşifrə etməyə imkan verirdi. Firefox və Chrome o zaman bu sertifikatı blokladı. 31 oktyabr 2026-cı il tarixinə NUTs kökündən belə istifadəyə dair ictimai sübut tapa bilmədik, amma texniki imkan istənilən kökdə eynidir.

Hər iki tərəfin məsləhət gördüyü praktik kompromis: kökü «hər ehtimala qarşı» quraşdırmamaq, bankları isə tətbiqdə və ya ayrıca brauzerdə açmaq.

Mintsifri sertifikatını iPhone, Android və kompüterə necə quraşdırmalı?

Faylları yalnız gosuslugi.ru/crt səhifəsindən yükləyin: «Kod»un məlumatına görə, orada Windows, macOS, Linux, Android və iOS üçün təlimatlar var. TKS.RU-nun məlumatına görə, Mintsifri 2026-cı ilin iyulunda sertifikatları üçüncü tərəf saytlarından götürməmək barədə ayrıca xəbərdarlıq edib. Yüklədikdən sonra kökün barmaq izini yuxarıdakı cədvəllə tutuşdurun.

iPhone və iPad

1. Sertifikatlar səhifəsini Safari-də açın, iOS üçün profili yükləyin və «İcazə ver» düyməsinə toxunun.
2. «Parametrlər»də «Profile Downloaded» (Profil yükləndi) bəndini açın və onu quraşdırın.
3. «Parametrlər» → «Ümumi» → «Haqqında» → «Certificate Trust Settings» (Sertifikat etibarı parametrləri) yolunu açın.
4. Russian Trusted Root CA üçün tam etibarı açın. Apple-ın arayışına görə, əl ilə quraşdırılmış profillər üçün TLS etibarı özü açılmır.

Android (bəndlər Google-un Pixel üçün arayışına görədir, digər markalarda adlar fərqlənə bilər)

1. Kök sertifikatın faylını yükləyin.
2. «Settings» → «Security & privacy» → «More security settings» → «Encryption & credentials» → «Install a certificate» yolunu açın.
3. «CA certificate» seçin, xəbərdarlığı oxuyun və «Install anyway» düyməsinə toxunun.
4. Yüklənmiş faylı göstərin. Telefonda PIN kod və ya parol yoxdursa, sistem onu təyin etməyi xahiş edəcək.

Windows

1. Kök və buraxan sertifikatları yükləyin və kök sertifikatın faylını açın.
2. «Install Certificate» düyməsinə basın, «Current User» seçin.
3. «Place all certificates in the following store» işarələyin və «Trusted Root Certification Authorities» göstərin.
4. Buraxan sertifikat üçün təkrarlayın və brauzeri yenidən başladın.

Mac

1. Yüklənmiş faylın üzərinə iki dəfə klikləyin, o, «Keychain Access»ə əlavə olunacaq.
2. Sertifikatı açın, «Trust» bölməsini genişləndirin və «Always Trust» seçin.
3. Mac parolu ilə təsdiqləyin və brauzeri yenidən başladın.

«Kod»un məlumatına görə, Firefox kökün öz parametrlərində ayrıca idxalını tələb edə bilər. Kökü oraya əlavə etmisinizsə, onu silmək də Firefox-da lazım olacaq.

Mintsifri sertifikatını necə silməli?

İstənilən an silmək olar, bu addım geri qaytarıla bilir. Silindikdən sonra NUTs sertifikatlı bank saytları Chrome və Safari-də yenidən xəta göstərəcək, amma bankların tətbiqləri və Yandex Browser işləməyə davam edəcək.

Android-də «Clear credentials» düyməsi də var: Google-un arayışına görə, o, bütün istifadəçi sertifikatlarını birdən silir, sistem sertifikatlarına toxunmur. Amma Mintsifri kökü ilə birlikdə, əgər sizdə varsa, iş Wi-Fi-ının sertifikatları da silinəcək.

Mintsifri sertifikatı və VPN: VPN bank saytını açmağa kömək edəcəkmi?

Xeyr. «Bağlantı qorunmur» xətasını kökü anbarda tapmadıqda brauzerin özü verir və trafikin hansı şəbəkə ilə getməsinin bu yoxlama üçün əhəmiyyəti yoxdur. VPN sertifikatı əvəz etmir, sertifikat isə VPN-ə mane olmur.

Onlar arasındakı əlaqə başqadır. Saytın sertifikatını yalnız trafikin yolunda əvəz etmək olar. Bağlantı VPN tuneli ilə getdiyi müddətcə provayder və TSPU avadanlığı yalnız serverə qədər şifrələnmiş tuneli görür, bu barədə ətraflı provayder nəyi görür məqaləsindədir. Amma bir çox VPN Rusiya saytlarını tuneldən yan göndərir, deməli, bank bu anda birbaşa açılır.

Bank başqa səbəbə görə buraxmırsa, bu, artıq sertifikat deyil. Banklar xarici ünvanlardan girişdən imtina edir və ya VPN ilə girişi məhdudlaşdırır: səbəblər və həllər bank VPN ilə buraxmır və xaricdə Sberbank Onlayn materiallarında araşdırılıb.

Niyə BessyConnect-i məsləhət görürük

Yad şəbəkələrdə qorunan bağlantı üçün BessyConnect-i məsləhət görürük. Bu, hazır tətbiqdir: serverlər artıq içindədir, açar axtarmaq lazım deyil, Mintsifri kökü barədə qərar isə ayrıca və yalnız sizin qərarınız olaraq qalır.

• Reality maskalanması ilə VLESS. Trafik adi HTTPS kimi görünür, bağlantı DPI-yə qarşı davamlıdır.
• 100-dən çox server, biri pis işləyirsə, serveri dəyişmək olar.
• Jurnallar aparılmır, qeydiyyat məcburi deyil.
• Sınaq müddəti var, öz şəbəkənizdə işini yoxlamaq üçün.

Tətbiqlər iPhone, iPad, Mac, Apple TV, Android və Android TV üçün buraxılıb:

• iPhone, iPad, Mac və Apple TV — App Store
• Android — Google Play
• Android TV — Google Play
• Bütün platformalar — yükləmə səhifəsi

Hüdudlar belədir. BessyConnect bank saytlarındakı sertifikat xətasını düzəltmir: bunun üçün NUTs kökü, Yandex Browser və ya bankın tətbiqi lazımdır. Trafik tuneldən yan gedirsə, o, sistemdə artıq quraşdırılmış kökdən qorumur. Windows üçün tətbiq yoxdur. Rusiya App Store-unda da BessyConnect yoxdur, iPhone-da o, başqa ölkənin Apple hesabından quraşdırılır.

iPhone, Mac və ya Android-də sistemdə artıq sertifikatlar olmadan şifrələnmiş bağlantı lazımdırsa, BessyConnect ilə başlayın: bütün versiyalar yükləmə səhifəsində toplanıb.

Tez-tez verilən suallar

Mintsifri sertifikatını quraşdırmaq məcburidirmi? Xeyr, qanun bunu tələb etmir. 26 oktyabr 2026-cı ildə Rusiya Banklar Assosiasiyası smartfonlarda əvvəlcədən quraşdırmanı məcburi etməyi təklif edib, amma hələ belə tələb yoxdur.

Sberbank və ya VTB tətbiqi üçün Mintsifri sertifikatı lazımdırmı? Adətən yox: «Novaya qazeta Yevropa»nın sitat gətirdiyi ekspertlər deyir ki, bankın rəsmi tətbiqi, bir qayda olaraq, sistem sertifikatı tələb etmir. Bu, Android sənədləri ilə uyğun gəlir: Android 7.0 və daha yeni versiyalar üçün tətbiqlər standart olaraq istifadəçinin quraşdırdığı sertifikatlardan istifadə etmir.

Mintsifri sertifikatını silmək olarmı? Bəli, istənilən an: iPhone-da «VPN və cihaz idarəetməsi» vasitəsilə, Android-də «Trusted credentials» → «User» vasitəsilə, Windows-da certmgr.msc vasitəsilə. Bundan sonra NUTs sertifikatlı bank saytları yenidən yalnız Yandex Browser-də və ya tətbiqdə açılacaq.

Həqiqi sertifikatın yükləndiyini necə yoxlamalı? Faylın xassələrini açın və SHA-256 barmaq izini tutuşdurun: Russian Trusted Root CA-da o, D2:6D:2D:02 ilə başlayır və CA:8E:CF:31 ilə bitir, etibarlılıq müddəti 27 fevral 2032-ci ilə qədərdir.

Bank saytı «Bağlantı qorunmur» yazırsa, BessyConnect kömək edəcəkmi? Xeyr, bu xətanı NUTs kökü, Yandex Browser və ya bankın tətbiqi düzəldir. BessyConnect başqa şey üçün lazımdır: Reality maskalanması ilə VLESS üzərində qorunan bağlantı, 100-dən çox server və onu öz şəbəkənizdə yoxlamaq üçün sınaq müddəti.

Oxşar məqalələr

İctimai Wi-Fi-da təhlükəsizlik: VPN nə üçün lazımdır

Kafedə, hava limanında və oteldə açıq Wi-Fi nə ilə təhlükəlidir və VPN ictimai şəbəkədə trafiki necə qoruyur. İlk saniyələrdə nə sıza bilər. Ətraflı

Provayder nəyi görür: tarixçə, axtarış və inkoqnito

Provayder brauzer tarixçəsini və axtarış sorğularını görürmü, HTTPS, inkoqnito və VPN nəyi dəyişir və operatorlar bağlantı məlumatlarını neçə il saxlayır. Ətraflı

VPN sizi anonim edirmi: haqqınızda nə görünür qalır

«Kim nəyi görür» cədvəli, brauzerin barmaq izi, hesaba giriş və reklam identifikatorları. VPN nəyi gizlədir, nəyi isə gizlədə bilmir. Ətraflı