लेखक: Pavel Onuchin, वीपीएन और नेटवर्क सुरक्षा विशेषज्ञ

3 min read

अपडेट किया गया: 31 अक्टूबर 2026

Mintsifry (रूसी डिजिटल मंत्रालय) का सर्टिफ़िकेट: यह क्या है, इंस्टॉल करें या नहीं और कैसे हटाएँ

Минцифры (Mintsifry, रूस का डिजिटल विकास मंत्रालय) का सर्टिफ़िकेट राष्ट्रीय प्रमाणन केंद्र НУЦ (NUTs) का रूट सर्टिफ़िकेट Russian Trusted Root CA है। यह इसलिए चाहिए ताकि Chrome, Safari, Edge और Firefox रूसी TLS सर्टिफ़िकेट वाली साइटें बिना चेतावनी के खोलें: 31 अक्टूबर 2026 को हमारी जाँच के अनुसार, Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselkhozbank और Sovcombank की साइटें इन्हीं पर चलती हैं। इसे इंस्टॉल करना ज़रूरी नहीं: Yandex Browser ऐसे सर्टिफ़िकेट ख़ुद समझता है, और बैंकों के ऐप आमतौर पर इसके बिना भी काम करते हैं। इंस्टॉल करने के ख़िलाफ़ मुख्य तर्क — रूट सर्टिफ़िकेट सिर्फ़ बैंक की नहीं, बल्कि किसी भी साइट की प्रामाणिकता की पुष्टि कर सकता है।

Mintsifry का सर्टिफ़िकेट और NUTs क्या है?

NUTs एक सरकारी प्रमाणन केंद्र है, जो 2022 से Gosuslugi (सरकारी सेवाओं के पोर्टल) के ज़रिए रूसी साइटों को मुफ़्त TLS सर्टिफ़िकेट देता है। Mintsifry का सर्टिफ़िकेट, जिसे इंस्टॉल करने को कहा जाता है, इसका रूट है: एक फ़ाइल, जिसे इंस्टॉल करने के बाद डिवाइस NUTs द्वारा जारी सभी सर्टिफ़िकेट पर भरोसा करने लगता है।

चेन किसी भी HTTPS साइट की तरह ही बनी है। साइट अपना सर्टिफ़िकेट दिखाती है, उस पर जारी करने वाले केंद्र Russian Trusted Sub CA ने हस्ताक्षर किए हैं, और उस पर रूट Russian Trusted Root CA ने। ब्राउज़र साइट पर सिर्फ़ तब भरोसा करता है, जब रूट उसके स्टोर में हो।

हमने Gosuslugi के सर्वर से फ़ाइलें डाउनलोड कीं और देखा कि उनमें क्या है:

पैरामीटर	Russian Trusted Root CA	Russian Trusted Sub CA (2024)
भूमिका	रूट	जारी करने वाला, इसी से बैंकों की साइटों पर हस्ताक्षर हुए हैं
वैधता अवधि	01.03.2022 – 27.02.2032	15.07.2024 – 19.07.2029
डोमेन पर पाबंदी (Name Constraints)	नहीं	नहीं
SHA-256 फ़िंगरप्रिंट की शुरुआत	D2:6D:2D:02	21:55:78:50

आख़िरी पंक्ति डाउनलोड की गई फ़ाइल जाँचने में काम आएगी: रूट का पूरा फ़िंगरप्रिंट CA:8E:CF:31 पर ख़त्म होता है। Sber के ऑनलाइन बैंक की साइट भी चेन में यही रूट देती है।

पराए और सार्वजनिक नेटवर्क में सुरक्षित कनेक्शन के लिए हम BessyConnect की सलाह देते हैं: यह Reality छद्मावरण वाले VLESS पर VPN है, जिसका ट्रैफ़िक सामान्य HTTPS जैसा दिखता है। यह Mintsifry के सर्टिफ़िकेट की जगह नहीं लेता, क्यों — नीचे समझाते हैं।

Gosuslugi और बैंक इसे इंस्टॉल करने को क्यों कहते हैं?

क्योंकि 2026 की गर्मियों में बड़े बैंक NUTs के सर्टिफ़िकेट पर चले गए, और Chrome, Safari, Edge और Firefox उन पर भरोसा नहीं करते। Mintsifry के रूट के बिना ऐसी साइटें «आपका कनेक्शन निजी नहीं है» त्रुटि के साथ खुलती हैं।

«Код» (Kod) के 5 अगस्त 2026 के आँकड़ों के अनुसार, 13 जून को GlobalSign ने प्रतिबंध सूची वाली कंपनियों से जुड़े CA/Browser Forum के नियमों का हवाला देते हुए कुछ रूसी संगठनों के सर्टिफ़िकेट रद्द करने शुरू किए। जुलाई के आख़िर और अगस्त की शुरुआत में अंतरराष्ट्रीय सर्टिफ़िकेट के बिना रह गए बैंक NUTs पर चले गए। ТКС.РУ (TKS.RU), Forbes का हवाला देते हुए, Sberbank, VTB, Rosselkhozbank, Uralsib, Alfa-Bank, PSB और «Санкт-Петербург» (Sankt-Peterburg) बैंक का नाम लेता है।

Sber त्रुटि वाले पेज पर सीधे इसके बारे में लिखता है। हमने NUTs रूट के बिना Chrome में इसकी साइट खोली और यह मिला: «Возможно у Вас не установлены сертификаты Национального УЦ Минцифры России» (शायद आपके यहाँ रूस के Mintsifry के राष्ट्रीय प्रमाणन केंद्र के सर्टिफ़िकेट इंस्टॉल नहीं हैं), साथ में Gosuslugi के निर्देशों का लिंक।

वहीं Gosuslugi ख़ुद अभी विदेशी सर्टिफ़िकेट पर चलता है। 31 अक्टूबर 2026 को किस पर किसके हस्ताक्षर हैं:

साइट	सर्टिफ़िकेट किसने जारी किया	क्या Chrome और Safari में NUTs रूट चाहिए
Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselkhozbank, Sovcombank	Mintsifry का NUTs	हाँ
Gosuslugi (www और ESIA से लॉगिन)	GlobalSign, 12.12.2026 तक	नहीं
mos.ru, Ozon, Raiffeisenbank	GlobalSign	नहीं
FNS (nalog.gov.ru), Wildberries	Let's Encrypt	नहीं
Gazprombank	TrustAsia	नहीं

तस्वीर बदल रही है: Gosuslugi के सर्टिफ़िकेट की अवधि दिसंबर में ख़त्म हो रही है, और उसकी जगह क्या आएगा, यह अज्ञात है। 26 अक्टूबर 2026 को SecurityLab ने बताया कि रूसी बैंक संघ ने Mintsifry से स्मार्टफ़ोन पर NUTs सर्टिफ़िकेट पहले से इंस्टॉल करना अनिवार्य करने को कहा है। मंत्रालय ने अनुरोध मिलने की पुष्टि की, लेकिन अभी ऐसी कोई आवश्यकता नहीं है।

कौन-से ब्राउज़र रूसी सर्टिफ़िकेट समर्थित करते हैं?

बिना सेटिंग के NUTs सर्टिफ़िकेट Yandex Browser (2022 से) और Chromium-GOST बिल्ड समझते हैं। Chrome, Safari, Edge और Opera इन पर सिर्फ़ सिस्टम में रूट इंस्टॉल होने के बाद भरोसा करते हैं, Firefox — उसकी अपनी सेटिंग में रूट जोड़ने के बाद।

31 अक्टूबर 2026 को हमने तीन मुख्य रूट स्टोर जाँचे: Russian Trusted Root CA न Chrome Root Store (95 रूट) में है, न Mozilla की सूची में, न macOS के सिस्टम स्टोर में।

ब्राउज़र	ख़ुद NUTs पर भरोसा करता है	क्या करना होगा
Yandex Browser	हाँ	कुछ नहीं, Yandex के शब्दों में «इन्हें हाथ से इंस्टॉल करने की ज़रूरत नहीं»
Chromium-GOST	हाँ	कुछ नहीं
Chrome, Edge, Opera	नहीं	Windows या macOS में रूट इंस्टॉल करें
Mac और iPhone पर Safari	नहीं	रूट इंस्टॉल करें और iPhone पर भरोसा चालू करें
Firefox	नहीं	Firefox की सेटिंग में रूट जोड़ें

Google के दस्तावेज़ के अनुसार, Windows पर Chrome उपयोगकर्ता द्वारा «Trusted Root Certification Authorities» में जोड़े गए रूट लेता है, और Mac पर «Keychain Access» के वे सर्टिफ़िकेट, जिन पर «Always Trust» का निशान है। इसलिए सिस्टम में इंस्टॉल करने से उस पर आधारित सभी ब्राउज़र में एक साथ भरोसा चालू हो जाता है।

क्या Mintsifry का सर्टिफ़िकेट इंस्टॉल करना ज़रूरी है और क्या यह ख़तरनाक है?

क़ानून उपयोगकर्ताओं को NUTs रूट इंस्टॉल करने के लिए बाध्य नहीं करता। फ़ैसला इस पर निर्भर करता है कि क्या आपको ब्राउज़र में बैंकों की साइटें चाहिए। जोखिम यह है कि इंस्टॉल किया गया रूट सिर्फ़ रूसी नहीं, बल्कि किसी भी साइट की प्रामाणिकता की पुष्टि कर सकता है।

यह हमारी जाँच से दिखता है: Mintsifry के रूट में Name Constraints एक्सटेंशन नहीं है, जो इसे .ru डोमेन या संगठनों की सूची तक सीमित करता। ऐसा कोई भी सर्टिफ़िकेट इंस्टॉल करते समय Android ख़ुद चेतावनी दिखाता है: «इंस्टॉल किए गए सर्टिफ़िकेट का मालिक साइटों और ऐप में डाले गए आपके डेटा (जैसे पासवर्ड और बैंक कार्ड का विवरण) तक पहुँच सकता है, भले ही यह जानकारी एन्क्रिप्टेड हो»।

विशेषज्ञों की राय अलग-अलग है।

मुख्य डिवाइस पर इंस्टॉल करने के ख़िलाफ़। साइबर वकील सर्किस दारबिन्यान ने 6 अगस्त 2026 को «Новая газета Европа» (Novaya Gazeta Europe) में Mintsifry के सर्टिफ़िकेट को ऐसा «सेंसर» कहा, जो चिट्ठी खोल सकता है, और «मैन-इन-द-मिडल» हमले की संभावना की चेतावनी दी। वे बैंक के ऐप, Yandex Browser या अलग डिवाइस इस्तेमाल करने की सलाह देते हैं।
जोखिम सभी रूट के लिए एक जैसा है। ТКС.РУ (TKS.RU) की 5 अगस्त 2026 की समीक्षा (Forbes की सामग्री के आधार पर) में विशेषज्ञ व्यापक भरोसे की संभावना को रूट सर्टिफ़िकेट के किसी भी इन्फ़्रास्ट्रक्चर की विशेषता बताते हैं, NUTs की ख़ासियत नहीं। रूसी सर्टिफ़िकेट के साथ HTTPS एन्क्रिप्शन बना रहता है।
उद्योग की राय। Yandex Browser के प्रमुख इल्या शिबानोव ने 7 अक्टूबर 2026 को «Код» (Kod) को दी टिप्पणी में कहा कि राष्ट्रीय सर्टिफ़िकेट «भरोसे के नए इन्फ़्रास्ट्रक्चर का हिस्सा बन रहे हैं»।

एक मिसाल भी है। 2019 में कज़ाख़स्तान के प्रोवाइडरों ने ग्राहकों से सरकारी रूट सर्टिफ़िकेट इंस्टॉल करने को कहा था, और Mozilla ने 21 अगस्त 2019 को अपने ब्लॉग में लिखा कि इससे ट्रैफ़िक को बीच में पकड़ना और डिक्रिप्ट करना संभव था। तब Firefox और Chrome ने इस सर्टिफ़िकेट को ब्लॉक कर दिया था। 31 अक्टूबर 2026 तक हमें NUTs रूट के ऐसे इस्तेमाल के सार्वजनिक सबूत नहीं मिले, लेकिन तकनीकी संभावना हर रूट के लिए एक जैसी है।

दोनों पक्ष जो व्यावहारिक समझौता सुझाते हैं: रूट «बस एहतियातन» इंस्टॉल न करें, बल्कि बैंक ऐप में या अलग ब्राउज़र में खोलें।

iPhone, Android और कंप्यूटर पर Mintsifry का सर्टिफ़िकेट कैसे इंस्टॉल करें?

फ़ाइलें सिर्फ़ gosuslugi.ru/crt पेज से डाउनलोड करें: «Код» (Kod) के अनुसार, वहाँ Windows, macOS, Linux, Android और iOS के निर्देश हैं। ТКС.РУ (TKS.RU) के अनुसार, जुलाई 2026 में Mintsifry ने अलग से चेतावनी दी थी कि तीसरे पक्ष की साइटों से सर्टिफ़िकेट न लें। डाउनलोड के बाद रूट का फ़िंगरप्रिंट ऊपर की तालिका से मिलाएँ।

iPhone और iPad

Safari में सर्टिफ़िकेट वाला पेज खोलें, iOS के लिए प्रोफ़ाइल डाउनलोड करें और «Allow» पर टैप करें।
«Settings» में «Profile Downloaded» खोलें और इसे इंस्टॉल करें।
«Settings» → «General» → «About» → «Certificate Trust Settings» पर जाएँ।
Russian Trusted Root CA के लिए पूरा भरोसा चालू करें। Apple की सहायता के अनुसार, हाथ से इंस्टॉल की गई प्रोफ़ाइल के लिए TLS का भरोसा अपने आप चालू नहीं होता।

Android (आइटम Pixel के लिए Google की सहायता के अनुसार हैं, दूसरे ब्रांड में नाम अलग हो सकते हैं)

रूट सर्टिफ़िकेट की फ़ाइल डाउनलोड करें।
«Settings» → «Security & privacy» → «More security settings» → «Encryption & credentials» → «Install a certificate» खोलें।
«CA certificate» चुनें, चेतावनी पढ़ें और «Install anyway» पर टैप करें।
डाउनलोड की गई फ़ाइल चुनें। अगर फ़ोन पर PIN या पासवर्ड नहीं है, तो सिस्टम उसे सेट करने को कहेगा।

Windows

रूट और जारी करने वाले सर्टिफ़िकेट डाउनलोड करें और रूट वाली फ़ाइल खोलें।
«Install Certificate» पर क्लिक करें, «Current User» चुनें।
«Place all certificates in the following store» चुनें और «Trusted Root Certification Authorities» बताएँ।
जारी करने वाले सर्टिफ़िकेट के लिए दोहराएँ और ब्राउज़र रीस्टार्ट करें।

Mac

डाउनलोड की गई फ़ाइल पर डबल-क्लिक करें, यह «Keychain Access» में जुड़ जाएगी।
सर्टिफ़िकेट खोलें, «Trust» सेक्शन खोलें और «Always Trust» चुनें।
Mac के पासवर्ड से पुष्टि करें और ब्राउज़र रीस्टार्ट करें।

«Код» (Kod) के अनुसार, Firefox अपनी सेटिंग में रूट को अलग से इम्पोर्ट करने को कह सकता है। अगर आपने रूट वहाँ जोड़ा था, तो उसे हटाना भी Firefox में ही होगा।

Mintsifry का सर्टिफ़िकेट कैसे हटाएँ?

इसे किसी भी समय हटाया जा सकता है, यह पलटा जा सकने वाला क़दम है। हटाने के बाद NUTs सर्टिफ़िकेट वाली बैंक साइटें Chrome और Safari में फिर से त्रुटि दिखाएँगी, लेकिन बैंक ऐप और Yandex Browser काम करते रहेंगे।

डिवाइस	कहाँ हटाएँ
iPhone, iPad	«Settings» → «General» → «VPN & Device Management» → Mintsifry की प्रोफ़ाइल → «Remove Profile»। सिर्फ़ भरोसा बंद करने के लिए «Certificate Trust Settings» में स्विच बंद करें
Android	«Encryption & credentials» → «Trusted credentials» → «User» टैब → Russian Trusted Root CA → «Remove»
Windows	Win+R → certmgr.msc → «Trusted Root Certification Authorities» → «Certificates» → Russian Trusted Root CA → «Delete»
Mac	«Keychain Access» → «Russian Trusted» खोजें → दोनों सर्टिफ़िकेट हटाएँ

Android पर «Clear credentials» बटन भी है: Google की सहायता के अनुसार, यह सभी उपयोगकर्ता सर्टिफ़िकेट एक साथ हटा देता है, सिस्टम वालों को नहीं छूता। लेकिन Mintsifry के रूट के साथ काम के Wi-Fi के सर्टिफ़िकेट भी चले जाएँगे, अगर आपके पास हैं।

Mintsifry का सर्टिफ़िकेट और VPN: क्या VPN बैंक की साइट खोलने में मदद करेगा?

नहीं। «आपका कनेक्शन निजी नहीं है» त्रुटि ख़ुद ब्राउज़र देता है, जब उसे स्टोर में रूट नहीं मिलता, और इस जाँच के लिए यह मायने नहीं रखता कि ट्रैफ़िक किस नेटवर्क से जा रहा है। VPN सर्टिफ़िकेट की जगह नहीं लेता, और सर्टिफ़िकेट VPN में बाधा नहीं डालता।

इनके बीच संबंध दूसरा है। साइट का सर्टिफ़िकेट सिर्फ़ ट्रैफ़िक के रास्ते पर बदला जा सकता है। जब तक कनेक्शन VPN टनल से जाता है, प्रोवाइडर और TSPU उपकरण सिर्फ़ सर्वर तक का एन्क्रिप्टेड टनल देखते हैं, इसके बारे में विस्तार से लेख प्रोवाइडर क्या देखता है में। लेकिन कई VPN रूसी साइटों को टनल से बाहर भेजते हैं, यानी उस समय बैंक सीधे खुलता है।

अगर बैंक किसी और वजह से अंदर नहीं आने देता, तो यह अब सर्टिफ़िकेट का मामला नहीं है। बैंक विदेशी पतों से पहुँच से मना करते हैं या VPN से लॉगिन सीमित करते हैं: कारण और हल लेख बैंक VPN के साथ अंदर नहीं आने देता और विदेश में Sberbank Online में बताए गए हैं।

हम BessyConnect की सलाह क्यों देते हैं

पराए नेटवर्क में सुरक्षित कनेक्शन के लिए हम BessyConnect की सलाह देते हैं। यह तैयार ऐप है: सर्वर पहले से अंदर हैं, की ढूँढने की ज़रूरत नहीं, और Mintsifry के रूट का फ़ैसला अलग और सिर्फ़ आपका रहता है।

Reality छद्मावरण वाला VLESS। ट्रैफ़िक सामान्य HTTPS जैसा दिखता है, कनेक्शन DPI के सामने टिका रहता है।
100 से ज़्यादा सर्वर, अगर एक ठीक से काम न करे तो सर्वर बदल सकते हैं।
कोई लॉग नहीं रखा जाता, रजिस्ट्रेशन ज़रूरी नहीं।
ट्रायल पीरियड है, ताकि अपने नेटवर्क में काम जाँच सकें।

ऐप iPhone, iPad, Mac, Apple TV, Android और Android TV के लिए जारी किए गए हैं:

iPhone, iPad, Mac और Apple TV — App Store
Android — Google Play
Android TV — Google Play
सभी प्लेटफ़ॉर्म — डाउनलोड पेज

सीमाएँ ये हैं। BessyConnect बैंक साइटों पर सर्टिफ़िकेट की त्रुटि ठीक नहीं करता: इसके लिए NUTs रूट, Yandex Browser या बैंक का ऐप चाहिए। अगर ट्रैफ़िक टनल से बाहर जाता है, तो यह सिस्टम में पहले से इंस्टॉल रूट से नहीं बचाता। Windows के लिए ऐप नहीं है। रूसी App Store में भी BessyConnect नहीं है, iPhone पर इसे दूसरे देश के Apple अकाउंट से इंस्टॉल किया जाता है।

अगर आपको सिस्टम में फ़ालतू सर्टिफ़िकेट के बिना iPhone, Mac या Android पर एन्क्रिप्टेड कनेक्शन चाहिए, तो BessyConnect से शुरू करें: सभी संस्करण डाउनलोड पेज पर हैं।

अक्सर पूछे जाने वाले सवाल

क्या Mintsifry का सर्टिफ़िकेट इंस्टॉल करना अनिवार्य है? नहीं, क़ानून इसकी माँग नहीं करता। 26 अक्टूबर 2026 को रूसी बैंक संघ ने स्मार्टफ़ोन पर इसे पहले से इंस्टॉल करना अनिवार्य करने का प्रस्ताव दिया, लेकिन अभी ऐसी कोई आवश्यकता नहीं है।

क्या Sberbank या VTB के ऐप के लिए Mintsifry का सर्टिफ़िकेट चाहिए? आमतौर पर नहीं: «Новая газета Европа» (Novaya Gazeta Europe) द्वारा उद्धृत विशेषज्ञ कहते हैं कि बैंक का आधिकारिक ऐप आमतौर पर सिस्टम सर्टिफ़िकेट नहीं माँगता। यह Android के दस्तावेज़ से मेल खाता है: Android 7.0 और नए संस्करणों वाले ऐप डिफ़ॉल्ट रूप से उपयोगकर्ता द्वारा इंस्टॉल किए गए सर्टिफ़िकेट इस्तेमाल नहीं करते।

क्या Mintsifry का सर्टिफ़िकेट हटाया जा सकता है? हाँ, किसी भी समय: iPhone पर «VPN & Device Management» से, Android पर «Trusted credentials» → «User» से, Windows पर certmgr.msc से। इसके बाद NUTs सर्टिफ़िकेट वाली बैंक साइटें फिर से सिर्फ़ Yandex Browser या ऐप में खुलेंगी।

कैसे जाँचें कि असली सर्टिफ़िकेट डाउनलोड हुआ है? फ़ाइल की प्रॉपर्टीज़ खोलें और SHA-256 फ़िंगरप्रिंट मिलाएँ: Russian Trusted Root CA का फ़िंगरप्रिंट D2:6D:2D:02 से शुरू होता है और CA:8E:CF:31 पर ख़त्म होता है, वैधता 27 फ़रवरी 2032 तक है।

अगर बैंक की साइट «आपका कनेक्शन निजी नहीं है» लिखती है, तो क्या BessyConnect मदद करेगा? नहीं, यह त्रुटि NUTs रूट, Yandex Browser या बैंक का ऐप ठीक करते हैं। BessyConnect किसी और काम के लिए है: Reality छद्मावरण वाले VLESS पर सुरक्षित कनेक्शन, 100 से ज़्यादा सर्वर और ट्रायल पीरियड, ताकि इसे अपने नेटवर्क में जाँच सकें।

साइन इन करें