Autore: Pavel Onuchin, Specialista VPN e sicurezza di rete

12 min di lettura

Aggiornato: 31 ottobre 2026

Il certificato del Mincifry: cos'è, se va installato e come rimuoverlo

Il certificato del Mincifry (il Ministero dello sviluppo digitale russo) è il certificato radice Russian Trusted Root CA dell'Autorità di certificazione nazionale (НУЦ, NUC). Serve affinché Chrome, Safari, Edge e Firefox aprano senza avvisi i siti che usano certificati TLS russi: secondo la nostra verifica del 31 ottobre 2026, li usano i siti di Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselkhozbank e Sovcombank. Installarlo non è obbligatorio: Yandex Browser riconosce questi certificati da solo, e le app delle banche di norma funzionano anche senza. L'argomento principale contro l'installazione: un certificato radice permette di attestare l'autenticità di qualsiasi sito, non solo di quello della banca.

Cos'è il certificato del Mincifry e cos'è il NUC?

Il NUC è un'autorità di certificazione statale che dal 2022 rilascia gratuitamente certificati TLS ai siti russi tramite Gosuslugi (il portale dei servizi pubblici). Il certificato del Mincifry che viene chiesto di installare è la sua radice: un file dopo la cui installazione il dispositivo inizia a fidarsi di tutti i certificati emessi dal NUC.

La catena è strutturata come quella di qualsiasi sito HTTPS. Il sito presenta il proprio certificato, firmato dall'autorità emittente Russian Trusted Sub CA, che a sua volta è firmata dalla radice Russian Trusted Root CA. Il browser si fida del sito solo se la radice si trova nel suo archivio.

Abbiamo scaricato i file dal server di Gosuslugi e abbiamo guardato cosa contengono:

Parametro	Russian Trusted Root CA	Russian Trusted Sub CA (2024)
Ruolo	radice	emittente, con questa sono firmati i siti delle banche
Validità	01.03.2022 – 27.02.2032	15.07.2024 – 19.07.2029
Limitazione per domini (Name Constraints)	no	no
L'impronta SHA-256 inizia con	D2:6D:2D:02	21:55:78:50

L'ultima riga serve per verificare il file scaricato: l'impronta completa della radice termina con CA:8E:CF:31. La stessa radice la restituisce nella catena il sito dell'online banking di Sber.

Per una connessione protetta su reti altrui e pubbliche ti consigliamo BessyConnect: è una VPN su VLESS con mascheramento Reality, il cui traffico sembra normale HTTPS. Non sostituisce il certificato del Mincifry: perché, lo spieghiamo più sotto.

Perché Gosuslugi e le banche chiedono di installarlo?

Perché nell'estate 2026 le grandi banche sono passate ai certificati del NUC, e Chrome, Safari, Edge e Firefox non si fidano di loro. Senza la radice del Mincifry questi siti si aprono con l'errore «La connessione non è privata».

Secondo «Код» (Kod) del 5 agosto 2026, il 13 giugno GlobalSign ha iniziato a revocare i certificati di una parte delle organizzazioni russe, richiamandosi alle regole del CA/Browser Forum sulle aziende presenti nelle liste di sanzioni. Tra la fine di luglio e l'inizio di agosto le banche rimaste senza certificati internazionali sono passate al NUC. TKS.RU, citando Forbes, indica Sberbank, VTB, Rosselkhozbank, Uralsib, Alfa-Bank, PSB e la banca «Санкт-Петербург» (Sankt-Peterburg).

Sber lo scrive chiaramente nella pagina di errore. Abbiamo aperto il suo sito in Chrome senza la radice del NUC e abbiamo ottenuto: «Возможно у Вас не установлены сертификаты Национального УЦ Минцифры России» («Forse non hai installato i certificati dell'Autorità di certificazione nazionale del Mincifry russo»), con un link alle istruzioni di Gosuslugi.

Gosuslugi stessa invece per ora usa un certificato straniero. Ecco chi è firmato da chi al 31 ottobre 2026:

Sito	Chi ha emesso il certificato	Serve la radice del NUC in Chrome e Safari
Sberbank, VTB, Alfa-Bank, T-Bank, PSB, Rosselkhozbank, Sovcombank	NUC del Mincifry	sì
Gosuslugi (www e accesso tramite ESIA)	GlobalSign, fino al 12.12.2026	no
mos.ru, Ozon, Raiffeisenbank	GlobalSign	no
FNS (nalog.gov.ru), Wildberries	Let's Encrypt	no
Gazprombank	TrustAsia	no

Il quadro sta cambiando: il certificato di Gosuslugi scade a dicembre, e con cosa verrà sostituito non si sa. Il 26 ottobre 2026 SecurityLab ha riferito che l'Associazione delle banche russe ha chiesto al Mincifry di rendere obbligatoria la preinstallazione dei certificati del NUC sugli smartphone. Il ministero ha confermato di aver ricevuto la richiesta, ma per ora non c'è alcun obbligo.

Quali browser supportano i certificati russi?

Senza configurazione i certificati del NUC li riconoscono Yandex Browser (dal 2022) e la build Chromium-GOST. Chrome, Safari, Edge e Opera iniziano a fidarsi solo dopo l'installazione della radice nel sistema, Firefox dopo l'aggiunta della radice nelle sue impostazioni.

Il 31 ottobre 2026 abbiamo verificato i tre principali archivi di certificati radice: Russian Trusted Root CA non c'è né nel Chrome Root Store (95 radici), né nell'elenco di Mozilla, né nell'archivio di sistema di macOS.

Browser	Si fida del NUC da solo	Cosa bisogna fare
Yandex Browser	sì	niente, secondo Yandex «non è necessario installarli manualmente»
Chromium-GOST	sì	niente
Chrome, Edge, Opera	no	installare la radice in Windows o macOS
Safari su Mac e iPhone	no	installare la radice e su iPhone attivare l'attendibilità
Firefox	no	aggiungere la radice nelle impostazioni di Firefox

Secondo la documentazione di Google, Chrome su Windows prende le radici aggiunte dall'utente in «Autorità di certificazione radice attendibili», e su Mac i certificati di «Accesso Portachiavi» contrassegnati con «Fidati sempre». Per questo l'installazione nel sistema attiva l'attendibilità subito in tutti i browser basati su di esso.

Bisogna installare il certificato del Mincifry ed è pericoloso?

La legge non obbliga gli utenti a installare la radice del NUC. La decisione dipende dal fatto che ti servano i siti delle banche nel browser. Il rischio sta nel fatto che una radice installata può attestare l'autenticità di qualsiasi sito, non solo di quelli russi.

Lo si vede dalla nostra verifica: nella radice del Mincifry manca l'estensione Name Constraints, che la limiterebbe ai domini .ru o a un elenco di organizzazioni. Android, all'installazione di un qualsiasi certificato di questo tipo, mostra da solo un avviso: «Il proprietario del certificato installato potrebbe accedere ai dati inseriti su siti e app (ad esempio password e dati delle carte bancarie), anche se tali informazioni sono crittografate».

Le valutazioni degli specialisti divergono.

Contro l'installazione sul dispositivo principale. L'avvocato specializzato in diritti digitali Sarkis Darbinyan su Novaya Gazeta Europe il 6 agosto 2026 ha definito il certificato del Mincifry un «censore» che può aprire una lettera, e ha avvertito della possibilità di un attacco «man in the middle». Consiglia di usare l'app della banca, Yandex Browser o un dispositivo separato.
Il rischio è comune a tutte le radici. Gli esperti nella panoramica di TKS.RU del 5 agosto 2026 (basata su materiali di Forbes) definiscono la possibilità di un'attendibilità ampia una proprietà di qualsiasi infrastruttura di certificati radice, non una peculiarità del NUC. La cifratura HTTPS con un certificato russo resta.
La posizione del settore. Il responsabile di Yandex Browser Ilya Shibanov, in un commento a «Код» (Kod) del 7 ottobre 2026, ha detto che i certificati nazionali «diventano parte di una nuova infrastruttura di fiducia».

C'è anche un precedente. Nel 2019 i provider del Kazakistan chiedevano agli abbonati di installare un certificato radice statale, e Mozilla, nel suo blog del 21 agosto 2019, ha scritto che permetteva di intercettare e decifrare il traffico. Firefox e Chrome allora bloccarono quel certificato. Prove pubbliche di un uso del genere della radice del NUC al 31 ottobre 2026 non siamo riusciti a trovarne, ma la possibilità tecnica è la stessa per qualsiasi radice.

Un compromesso pratico, che consigliano entrambe le parti: non installare la radice «per ogni evenienza», ma aprire le banche nell'app o in un browser separato.

Come installare il certificato del Mincifry su iPhone, Android e computer?

Scarica i file solo dalla pagina gosuslugi.ru/crt: secondo «Код» (Kod), lì ci sono istruzioni per Windows, macOS, Linux, Android e iOS. Il Mincifry, secondo TKS.RU, a luglio 2026 ha avvertito espressamente di non prendere i certificati da siti di terze parti. Dopo il download confronta l'impronta della radice con la tabella sopra.

iPhone e iPad

Apri la pagina dei certificati in Safari, scarica il profilo per iOS e tocca «Consenti».
In «Impostazioni» apri «Profilo scaricato» e installalo.
Vai in «Impostazioni» → «Generali» → «Info» → «Impostazioni attendibilità certificati».
Attiva l'attendibilità completa per Russian Trusted Root CA. Secondo la guida di Apple, per i profili installati manualmente l'attendibilità per TLS non si attiva da sola.

Android (le voci secondo la guida di Google per Pixel; su altre marche i nomi possono variare)

Scarica il file del certificato radice.
Apri «Impostazioni» → «Sicurezza e privacy» → «Altre impostazioni di sicurezza» → «Crittografia e credenziali» → «Installa un certificato».
Scegli «Certificato CA», leggi l'avviso e tocca «Installa comunque».
Indica il file scaricato. Se sul telefono non c'è un PIN o una password, il sistema ti chiederà di impostarli.

Windows

Scarica il certificato radice e quello emittente e apri il file del certificato radice.
Fai clic su «Installa certificato», scegli «Utente corrente».
Seleziona «Colloca tutti i certificati nel seguente archivio» e indica «Autorità di certificazione radice attendibili».
Ripeti per il certificato emittente e riavvia il browser.

Mac

Fai doppio clic sul file scaricato: verrà aggiunto ad «Accesso Portachiavi».
Apri il certificato, espandi la sezione «Fidati» e scegli «Fidati sempre».
Conferma con la password del Mac e riavvia il browser.

Firefox, secondo «Код» (Kod), può richiedere un'importazione separata della radice nelle sue impostazioni. Se hai aggiunto la radice lì, dovrai rimuoverla anche in Firefox.

Come rimuovere il certificato del Mincifry?

Lo si può rimuovere in qualsiasi momento, è reversibile. Dopo la rimozione i siti delle banche con certificati del NUC mostreranno di nuovo un errore in Chrome e Safari, ma le app delle banche e Yandex Browser continueranno a funzionare.

Dispositivo	Dove rimuoverlo
iPhone, iPad	«Impostazioni» → «Generali» → «VPN e gestione dispositivi» → profilo del Mincifry → «Rimuovi profilo». Per disattivare solo l'attendibilità, spegni l'interruttore in «Impostazioni attendibilità certificati»
Android	«Crittografia e credenziali» → «Credenziali attendibili» → scheda «Utente» → Russian Trusted Root CA → «Rimuovi»
Windows	Win+R → certmgr.msc → «Autorità di certificazione radice attendibili» → «Certificati» → Russian Trusted Root CA → «Elimina»
Mac	«Accesso Portachiavi» → cerca «Russian Trusted» → elimina entrambi i certificati

Su Android c'è anche il pulsante «Cancella credenziali»: secondo la guida di Google rimuove in un colpo solo tutti i certificati dell'utente, senza toccare quelli di sistema. Ma insieme alla radice del Mincifry spariranno anche i certificati del Wi-Fi di lavoro, se ne hai.

Il certificato del Mincifry e la VPN: la VPN aiuta ad aprire il sito della banca?

No. L'errore «La connessione non è privata» lo genera il browser stesso quando non trova la radice nell'archivio, e la rete attraverso cui passa il traffico per questo controllo non conta. La VPN non sostituisce il certificato, e il certificato non ostacola la VPN.

Il legame tra i due è un altro. Il certificato di un sito si può sostituire solo lungo il percorso del traffico. Finché la connessione passa per il tunnel VPN, il provider e l'apparecchiatura TSPU vedono solo un tunnel cifrato fino al server; più dettagli nell'articolo cosa vede il provider. Ma molte VPN fanno passare i siti russi fuori dal tunnel, e quindi in quel momento la banca si apre direttamente.

Se la banca non ti fa entrare per un altro motivo, non si tratta più del certificato. Le banche negano l'accesso dagli indirizzi stranieri o limitano l'accesso con VPN: cause e soluzioni sono analizzate negli articoli la banca non fa entrare con la VPN e Sberbank Online all'estero.

Perché consigliamo BessyConnect

Per una connessione protetta su reti altrui ti consigliamo BessyConnect. È un'app pronta all'uso: i server sono già dentro, non devi cercare chiavi, e la decisione sulla radice del Mincifry resta separata e solo tua.

VLESS con mascheramento Reality. Il traffico sembra normale HTTPS, la connessione resiste alla DPI.
Più di 100 server, puoi cambiare server se uno funziona male.
Nessun log, registrazione non obbligatoria.
C'è un periodo di prova, per verificare il funzionamento sulla tua rete.

Le app sono disponibili per iPhone, iPad, Mac, Apple TV, Android e Android TV:

iPhone, iPad, Mac e Apple TV — App Store
Android — Google Play
Android TV — Google Play
Tutte le piattaforme — pagina di download

I limiti sono questi. BessyConnect non corregge l'errore di certificato sui siti delle banche: per questo serve la radice del NUC, Yandex Browser o l'app della banca. Non protegge da una radice già installata nel sistema, se il traffico passa fuori dal tunnel. Non c'è un'app per Windows. Anche nell'App Store russo BessyConnect non c'è: su iPhone si installa con un Account Apple di un altro paese.

Se ti serve una connessione cifrata su iPhone, Mac o Android senza certificati superflui nel sistema, inizia da BessyConnect: tutte le versioni sono raccolte nella pagina di download.

Domande frequenti

È obbligatorio installare il certificato del Mincifry? No, la legge non lo richiede. Il 26 ottobre 2026 l'Associazione delle banche russe ha proposto di rendere obbligatoria la preinstallazione sugli smartphone, ma per ora un obbligo del genere non c'è.

Serve il certificato del Mincifry per l'app di Sberbank o di VTB? Di solito no: gli esperti citati da Novaya Gazeta Europe dicono che l'app ufficiale della banca, di norma, non richiede il certificato di sistema. Questo è coerente con la documentazione di Android: le app per Android 7.0 e versioni successive per impostazione predefinita non usano i certificati installati dall'utente.

Si può rimuovere il certificato del Mincifry? Sì, in qualsiasi momento: su iPhone tramite «VPN e gestione dispositivi», su Android tramite «Credenziali attendibili» → «Utente», su Windows tramite certmgr.msc. I siti delle banche con certificati del NUC dopo la rimozione si apriranno di nuovo solo in Yandex Browser o nell'app.

Come verificare di aver scaricato il certificato autentico? Apri le proprietà del file e confronta l'impronta SHA-256: per Russian Trusted Root CA inizia con D2:6D:2D:02 e termina con CA:8E:CF:31, con validità fino al 27 febbraio 2032.

BessyConnect aiuta se il sito della banca dice «La connessione non è privata»? No, questo errore lo correggono la radice del NUC, Yandex Browser o l'app della banca. BessyConnect serve ad altro: una connessione protetta su VLESS con mascheramento Reality, più di 100 server e un periodo di prova per verificarlo sulla tua rete.

Accedi