Certificado del Mintsifry: qué es, si hay que instalarlo y cómo eliminarlo

El certificado del Mintsifry (Ministerio de Desarrollo Digital de Rusia) es el certificado raíz Russian Trusted Root CA del Centro Nacional de Certificación (NUTs). Sirve para que Chrome, Safari, Edge y Firefox abran sin advertencias los sitios con certificados TLS rusos: según nuestra comprobación del 31 de octubre de 2026, los usan los sitios de Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselkhozbank y Sovcombank. No es obligatorio instalarlo: Yandex Browser reconoce estos certificados por sí solo, y las aplicaciones de los bancos, por regla general, funcionan también sin él. El principal argumento en contra de instalarlo es que un certificado raíz permite confirmar la autenticidad de cualquier sitio, no solo de los bancarios.

¿Qué es el certificado del Mintsifry y el NUTs?

El NUTs es un centro de certificación estatal que desde 2022 emite gratuitamente certificados TLS a los sitios rusos a través de Gosuslugi. El certificado del Mintsifry que piden instalar es su raíz: un archivo tras cuya instalación el dispositivo empieza a confiar en todos los certificados emitidos por el NUTs.

La cadena funciona igual que en cualquier sitio HTTPS. El sitio presenta su certificado, que está firmado por la autoridad emisora Russian Trusted Sub CA, y esta, a su vez, está firmada por la raíz Russian Trusted Root CA. El navegador solo confía en el sitio si la raíz está en su almacén.

Descargamos los archivos del servidor de Gosuslugi y miramos qué contienen:

La última fila te servirá para comprobar el archivo descargado: la huella completa de la raíz termina en CA:8E:CF:31. La misma raíz la entrega en su cadena el sitio de la banca en línea de Sber.

Para una conexión protegida en redes ajenas y públicas, te aconsejamos BessyConnect: es una VPN con VLESS y camuflaje Reality, cuyo tráfico parece HTTPS normal. No sustituye al certificado del Mintsifry; por qué, lo explicamos abajo.

¿Por qué Gosuslugi y los bancos piden instalarlo?

Porque en el verano de 2026 los grandes bancos pasaron a los certificados del NUTs, y Chrome, Safari, Edge y Firefox no confían en ellos. Sin la raíz del Mintsifry, estos sitios se abren con el error «La conexión no es privada».

Según «Код Дурова» (Kod Durova) del 5 de agosto de 2026, el 13 de junio GlobalSign empezó a revocar los certificados de parte de las organizaciones rusas, alegando las reglas del CA/Browser Forum sobre las empresas de las listas de sanciones. A finales de julio y principios de agosto, los bancos que se quedaron sin certificados internacionales pasaron al NUTs. TKS.RU, citando a Forbes, menciona a Sberbank, VTB, Rosselkhozbank, Uralsib, Alfa-Bank, PSB y el banco «Санкт-Петербург» (San Petersburgo).

Sber lo dice claramente en su página de error. Abrimos su sitio en Chrome sin la raíz del NUTs y obtuvimos: «Es posible que no tenga instalados los certificados del Centro Nacional de Certificación del Mintsifry de Rusia», con un enlace a las instrucciones de Gosuslugi.

El propio Gosuslugi, en cambio, sigue funcionando con un certificado extranjero. Así están firmados los sitios a 31 de octubre de 2026:

El panorama está cambiando: el certificado de Gosuslugi caduca en diciembre y no se sabe con qué lo sustituirán. El 26 de octubre de 2026, SecurityLab informó de que la Asociación de Bancos de Rusia había pedido al Mintsifry que hiciera obligatoria la preinstalación de los certificados del NUTs en los smartphones. El ministerio confirmó haber recibido la solicitud, pero por ahora no existe tal requisito.

¿Qué navegadores admiten los certificados rusos?

Sin configuración, los certificados del NUTs los reconocen Yandex Browser (desde 2022) y la compilación Chromium-GOST. Chrome, Safari, Edge y Opera solo empiezan a confiar en ellos después de instalar la raíz en el sistema, y Firefox, después de añadir la raíz en sus propios ajustes.

El 31 de octubre de 2026 comprobamos los tres principales almacenes de raíces: Russian Trusted Root CA no está ni en el Chrome Root Store (95 raíces), ni en la lista de Mozilla, ni en el almacén del sistema de macOS.

Según la documentación de Google, Chrome en Windows toma las raíces que el usuario ha añadido a «Entidades de certificación raíz de confianza», y en el Mac, los certificados del «Llavero» marcados con «Confiar siempre». Por eso, la instalación en el sistema activa la confianza a la vez en todos los navegadores basados en él.

¿Hay que instalar el certificado del Mintsifry y es peligroso?

La ley no obliga a los usuarios a instalar la raíz del NUTs. La decisión depende de si necesitas los sitios de los bancos en el navegador. El riesgo es que una raíz instalada puede confirmar la autenticidad de cualquier sitio, no solo de los rusos.

Se ve en nuestra comprobación: la raíz del Mintsifry no tiene la extensión Name Constraints, que la limitaría a los dominios .ru o a una lista de organizaciones. Android, al instalar cualquier certificado de este tipo, muestra por sí mismo una advertencia: «El propietario del certificado instalado podrá acceder a los datos que introduzcas en sitios web y aplicaciones (por ejemplo, contraseñas y datos de tarjetas bancarias), aunque estén cifrados».

Las valoraciones de los especialistas difieren.

• En contra de instalarlo en el dispositivo principal. El ciberabogado Sarkis Darbinyan, en «Новая газета Европа» (Novaya Gazeta Europe) el 6 de agosto de 2026, calificó el certificado del Mintsifry de «censor» capaz de abrir una carta y advirtió de la posibilidad de un ataque de «intermediario» (man-in-the-middle). Aconseja usar la aplicación del banco, Yandex Browser o un dispositivo aparte.
• El riesgo es común a todas las raíces. Los expertos del análisis de TKS.RU del 5 de agosto de 2026 (basado en materiales de Forbes) describen la posibilidad de una confianza amplia como una propiedad de cualquier infraestructura de certificados raíz, no como una particularidad del NUTs. El cifrado HTTPS con un certificado ruso se mantiene.
• La postura del sector. El responsable de Yandex Browser, Iliá Shibánov, en un comentario a Kod Durova el 7 de octubre de 2026, dijo que los certificados nacionales «se están convirtiendo en parte de una nueva infraestructura de confianza».

Hay también un precedente. En 2019, los proveedores de Kazajistán pidieron a sus abonados que instalaran un certificado raíz estatal, y Mozilla escribió en su blog el 21 de agosto de 2019 que permitía interceptar y descifrar el tráfico. Firefox y Chrome bloquearon entonces ese certificado. A 31 de octubre de 2026 no hemos podido encontrar pruebas públicas de un uso así de la raíz del NUTs, pero la posibilidad técnica es la misma para cualquier raíz.

Un término medio práctico que aconsejan ambas partes: no instalar la raíz «por si acaso» y abrir los bancos en su aplicación o en un navegador aparte.

¿Cómo instalar el certificado del Mintsifry en el iPhone, Android y el ordenador?

Descarga los archivos solo desde la página gosuslugi.ru/crt: según Kod Durova, allí hay instrucciones para Windows, macOS, Linux, Android e iOS. El Mintsifry, según TKS.RU, advirtió expresamente en julio de 2026 que no se descarguen los certificados de sitios de terceros. Después de descargarlos, compara la huella de la raíz con la tabla de arriba.

iPhone y iPad

1. Abre la página de los certificados en Safari, descarga el perfil para iOS y toca «Permitir».
2. En «Ajustes», abre «Perfil descargado» e instálalo.
3. Ve a «Ajustes» → «General» → «Información» → «Ajustes de confianza de certificados».
4. Activa la confianza total para Russian Trusted Root CA. Según la ayuda de Apple, en los perfiles instalados manualmente la confianza para TLS no se activa sola.

Android (opciones según la ayuda de Google para Pixel; en otras marcas los nombres pueden variar)

1. Descarga el archivo del certificado raíz.
2. Abre «Ajustes» → «Seguridad y privacidad» → «Más ajustes de seguridad» → «Encriptación y credenciales» → «Instalar un certificado».
3. Elige «Certificado de CA», lee la advertencia y toca «Instalar de todos modos».
4. Selecciona el archivo descargado. Si el teléfono no tiene PIN ni contraseña, el sistema te pedirá que los configures.

Windows

1. Descarga los certificados raíz y emisor y abre el archivo del raíz.
2. Pulsa «Instalar certificado» y elige «Usuario actual».
3. Marca «Colocar todos los certificados en el siguiente almacén» e indica «Entidades de certificación raíz de confianza».
4. Repite con el certificado emisor y reinicia el navegador.

Mac

1. Haz doble clic en el archivo descargado; se añadirá al «Llavero».
2. Abre el certificado, despliega la sección «Confiar» y elige «Confiar siempre».
3. Confirma con la contraseña del Mac y reinicia el navegador.

Firefox, según Kod Durova, puede requerir importar la raíz por separado en sus ajustes. Si añadiste la raíz allí, también tendrás que eliminarla en Firefox.

¿Cómo eliminar el certificado del Mintsifry?

Se puede eliminar en cualquier momento; es reversible. Después de eliminarlo, los sitios de los bancos con certificados del NUTs volverán a mostrar el error en Chrome y Safari, pero las aplicaciones de los bancos y Yandex Browser seguirán funcionando.

En Android también está el botón «Borrar credenciales»: según la ayuda de Google, elimina de una vez todos los certificados del usuario y no toca los del sistema. Pero junto con la raíz del Mintsifry se irán también los certificados de la Wi-Fi del trabajo, si los tienes.

El certificado del Mintsifry y la VPN: ¿ayuda la VPN a abrir el sitio del banco?

No. El error «La conexión no es privada» lo da el propio navegador cuando no encuentra la raíz en el almacén, y para esa comprobación da igual por qué red va el tráfico. La VPN no sustituye al certificado, y el certificado no interfiere con la VPN.

La relación entre ellos es otra. El certificado de un sitio solo se puede suplantar en el camino del tráfico. Mientras la conexión va por el túnel VPN, el proveedor y los equipos TSPU solo ven un túnel cifrado hasta el servidor; hay más detalles en el artículo qué ve el proveedor. Pero muchas VPN mandan los sitios rusos por fuera del túnel, lo que significa que en ese momento el banco se abre directamente.

Si el banco no te deja entrar por otro motivo, ya no es cosa del certificado. Los bancos deniegan el acceso desde direcciones extranjeras o restringen el inicio de sesión con VPN: las causas y soluciones se analizan en los artículos el banco no me deja entrar con VPN y Sberbank Online en el extranjero.

Por qué recomendamos BessyConnect

Para una conexión protegida en redes ajenas, te aconsejamos BessyConnect. Es una aplicación lista para usar: los servidores ya están dentro, no hace falta buscar claves, y la decisión sobre la raíz del Mintsifry sigue siendo aparte y solo tuya.

• VLESS con camuflaje Reality. El tráfico parece HTTPS normal y la conexión resiste la DPI.
• Más de 100 servidores: puedes cambiar de servidor si uno funciona mal.
• No se guardan registros y el registro no es obligatorio.
• Hay periodo de prueba para comprobar cómo funciona en tu red.

Hay aplicaciones para iPhone, iPad, Mac, Apple TV, Android y Android TV:

• iPhone, iPad, Mac y Apple TV — App Store
• Android — Google Play
• Android TV — Google Play
• Todas las plataformas — página de descarga

Los límites son estos. BessyConnect no corrige el error de certificado en los sitios de los bancos: para eso hace falta la raíz del NUTs, Yandex Browser o la aplicación del banco. No protege de una raíz ya instalada en el sistema si el tráfico va por fuera del túnel. No hay aplicación para Windows. BessyConnect tampoco está en la App Store rusa; en el iPhone se instala con una Cuenta de Apple de otro país.

Si necesitas una conexión cifrada en el iPhone, el Mac o Android sin certificados innecesarios en el sistema, empieza por BessyConnect: todas las versiones están reunidas en la página de descarga.

Preguntas frecuentes

¿Es obligatorio instalar el certificado del Mintsifry? No, la ley no lo exige. El 26 de octubre de 2026, la Asociación de Bancos de Rusia propuso hacer obligatoria la preinstalación en los smartphones, pero por ahora no existe tal requisito.

¿Hace falta el certificado del Mintsifry para la aplicación de Sberbank o VTB? Normalmente no: los expertos citados por Novaya Gazeta Europe dicen que la aplicación oficial del banco, por regla general, no requiere el certificado del sistema. Esto concuerda con la documentación de Android: las aplicaciones para Android 7.0 y posteriores, por defecto, no usan los certificados instalados por el usuario.

¿Se puede eliminar el certificado del Mintsifry? Sí, en cualquier momento: en el iPhone, a través de «VPN y gestión de dispositivos»; en Android, a través de «Credenciales de confianza» → «Usuario», y en Windows, con certmgr.msc. Después, los sitios de los bancos con certificados del NUTs solo volverán a abrirse en Yandex Browser o en la aplicación.

¿Cómo comprobar que he descargado el certificado auténtico? Abre las propiedades del archivo y compara la huella SHA-256: la de Russian Trusted Root CA empieza por D2:6D:2D:02 y termina en CA:8E:CF:31, con validez hasta el 27 de febrero de 2032.

¿Ayuda BessyConnect si el sitio del banco dice «La conexión no es privada»? No; ese error lo corrigen la raíz del NUTs, Yandex Browser o la aplicación del banco. BessyConnect sirve para otra cosa: una conexión protegida con VLESS y camuflaje Reality, más de 100 servidores y un periodo de prueba para comprobarla en tu red.

Artículos relacionados

Fugas de DNS: qué son y cómo comprobar tu VPN

Qué es una fuga de DNS y cómo hacer un dns leak test con la VPN activa. Aprende a comprobar tu VPN y cerrar las fugas. BessyConnect, VPN privada sin fugas. Más

VPN online sin descargar: qué es en realidad

Por qué la «vpn online» es un proxy web y no una VPN: qué ve el propietario de ese servicio, cuándo es admisible y por qué no se pueden introducir contraseñas. Más

Kill switch en la VPN: qué hace y cómo probarlo

Qué hace el kill switch VPN: qué se escapa en los dos segundos tras una caída del túnel, cómo activar el bloqueo en Android y iPhone y una prueba de un minuto. Más