作者: Pavel Onuchin, VPN 与网络安全专家

19 分钟

更新于: 2026年10月31日

俄罗斯数字发展部证书：是什么，要不要安装，如何删除

俄罗斯数字发展部（Минцифры）证书，是国家认证中心（НУЦ）的根证书 Russian Trusted Root CA。安装它之后，Chrome、Safari、Edge 和 Firefox 才能在不弹出警告的情况下打开使用俄罗斯 TLS 证书的网站：根据我们 2026 年 10 月 31 日的检查，Sberbank、VTB、Alfa-Bank、T-Bank、PSB、Rosselkhozbank 和 Sovcombank 的网站都在使用这类证书。安装并非必需：Yandex Browser（Яндекс Браузер）本身就能识别这类证书，而银行应用通常不安装它也能正常使用。反对安装的主要理由是：根证书可以为任何网站证明身份，而不只是银行网站。

什么是俄罗斯数字发展部证书和国家认证中心？

国家认证中心（НУЦ）是一家国有认证机构，自 2022 年起通过俄罗斯政务服务平台 Gosuslugi（«Госуслуги»）免费为俄罗斯网站签发 TLS 证书。大家被要求安装的数字发展部证书就是它的根证书：安装这个文件后，设备就会开始信任国家认证中心签发的所有证书。

证书链的结构与任何 HTTPS 网站相同。网站出示自己的证书，该证书由签发中心 Russian Trusted Sub CA 签名，而签发中心又由根证书 Russian Trusted Root CA 签名。只有当根证书位于浏览器的证书存储中时，浏览器才会信任该网站。

我们从 Gosuslugi 的服务器下载了这些文件，看了看里面的内容：

参数	Russian Trusted Root CA	Russian Trusted Sub CA（2024）
角色	根证书	签发证书，银行网站由它签名
有效期	2022.03.01 – 2032.02.27	2024.07.15 – 2029.07.19
域名限制（Name Constraints）	无	无
SHA-256 指纹开头	D2:6D:2D:02	21:55:78:50

最后一行可以用来核对下载的文件：根证书的完整指纹以 CA:8E:CF:31 结尾。Sber 网上银行网站在证书链中提供的也是同一个根证书。

在他人的网络和公共网络中，我们推荐使用 BessyConnect 获得受保护的连接：这是一款基于 VLESS 协议、采用 Reality 伪装的 VPN，其流量看起来就像普通的 HTTPS。它不能代替数字发展部证书，原因下文会解释。

为什么 Gosuslugi 和银行要求安装它？

因为 2026 年夏天，大型银行改用了国家认证中心的证书，而 Chrome、Safari、Edge 和 Firefox 都不信任这些证书。没有数字发展部的根证书，这些网站打开时会报错“您的连接不是私密连接”（«Подключение не защищено»）。

据 «Код»（Kod）2026 年 8 月 5 日报道，6 月 13 日，GlobalSign 开始吊销部分俄罗斯机构的证书，理由是 CA/Browser Forum 关于受制裁名单中公司的规定。7 月底至 8 月初，失去国际证书的银行改用了国家认证中心的证书。TKS.RU（ТКС.РУ）援引 Forbes 的报道，点名了 Sberbank、VTB、Rosselkhozbank、Uralsib、Alfa-Bank、PSB 和 Bank Saint Petersburg（банк «Санкт-Петербург»）。

Sber 在错误页面上直接写明了这一点。我们在没有国家认证中心根证书的 Chrome 中打开它的网站，看到的提示是：“您可能没有安装俄罗斯数字发展部国家认证中心的证书”，并附有 Gosuslugi 说明页面的链接。

而 Gosuslugi 本身目前仍在使用境外证书。截至 2026 年 10 月 31 日，各网站的证书签发情况如下：

网站	证书签发者	在 Chrome 和 Safari 中是否需要国家认证中心根证书
Sberbank、VTB、Alfa-Bank、T-Bank、PSB、Rosselkhozbank、Sovcombank	俄罗斯数字发展部国家认证中心	需要
Gosuslugi（www 和通过 ESIA 统一身份认证系统登录）	GlobalSign，有效期至 2026.12.12	不需要
mos.ru、Ozon、Raiffeisenbank	GlobalSign	不需要
俄罗斯联邦税务局（nalog.gov.ru）、Wildberries	Let's Encrypt	不需要
Gazprombank	TrustAsia	不需要

情况还在变化：Gosuslugi 的证书将在 12 月到期，换成什么尚不清楚。2026 年 10 月 26 日，SecurityLab 报道称，俄罗斯银行协会请求数字发展部强制要求在智能手机上预装国家认证中心证书。该部确认收到了请求，但目前还没有这项要求。

哪些浏览器支持俄罗斯证书？

无需设置就能识别国家认证中心证书的，有 Yandex Browser（自 2022 年起）和 Chromium-GOST（Chromium-ГОСТ）版本。Chrome、Safari、Edge 和 Opera 只有在根证书安装到系统中之后才会信任它们，Firefox 则需要在它自己的设置中添加根证书。

我们在 2026 年 10 月 31 日检查了三大根证书存储：Chrome Root Store（95 个根证书）、Mozilla 列表和 macOS 系统存储中都没有 Russian Trusted Root CA。

浏览器	是否原生信任国家认证中心	需要做什么
Yandex Browser	是	什么都不用做，按 Yandex 的说法，“不需要手动安装”
Chromium-GOST	是	什么都不用做
Chrome、Edge、Opera	否	在 Windows 或 macOS 中安装根证书
Mac 和 iPhone 上的 Safari	否	安装根证书，在 iPhone 上还要开启信任
Firefox	否	在 Firefox 设置中添加根证书

根据 Google 的文档，Windows 上的 Chrome 会采用用户添加到“受信任的根证书颁发机构”中的根证书，Mac 上的 Chrome 则采用“钥匙串访问”中标记为“始终信任”的证书。所以把证书安装到系统中，会让所有基于该系统证书库的浏览器同时开始信任它。

需要安装俄罗斯数字发展部证书吗，有危险吗？

法律并不要求用户安装国家认证中心的根证书。是否安装，取决于你是否需要在浏览器中访问银行网站。风险在于：已安装的根证书可以为任何网站证明身份，而不只是俄罗斯网站。

我们的检查结果说明了这一点：数字发展部根证书中没有 Name Constraints 扩展，没有被限制在 .ru 域名或某个机构名单的范围内。Android 在安装任何此类证书时都会自动显示警告：“已安装证书的所有者可以访问你在网站和应用中输入的数据（例如密码和银行卡信息），即使这些信息已加密。”

专家们的看法不一。

反对安装在主力设备上。 网络维权律师萨尔基斯·达尔比尼扬（Саркис Дарбинян）2026 年 8 月 6 日在 «Новая газета Европа»（Novaya Gazeta Europe）上称数字发展部证书是可以拆开信件的“审查员”，并警告存在“中间人”攻击的可能。他建议使用银行应用、Yandex Browser 或一台单独的设备。
所有根证书都有同样的风险。 在 TKS.RU 2026 年 8 月 5 日的综述（基于 Forbes 的材料）中，专家们认为，能够被广泛信任是任何根证书基础设施的共同属性，而不是国家认证中心特有的。使用俄罗斯证书时，HTTPS 加密依然存在。
行业的立场。 Yandex Browser 负责人伊利亚·希巴诺夫（Илья Шибанов）2026 年 10 月 7 日在接受 «Код»（Kod）采访时表示，国家证书“正在成为新的信任基础设施的一部分”。

此前也有先例。2019 年，哈萨克斯坦的运营商要求用户安装国家根证书，Mozilla 在 2019 年 8 月 21 日的博客中写道，该证书被用于拦截和解密流量。Firefox 和 Chrome 当时封禁了这个证书。截至 2026 年 10 月 31 日，我们没有找到国家认证中心根证书被这样使用的公开证据，但任何根证书在技术上都具备同样的可能性。

双方都建议的一个务实折中办法是：不要“以防万一”地安装根证书，而是在应用或单独的浏览器中打开银行。

如何在 iPhone、Android 和电脑上安装俄罗斯数字发展部证书？

只从 gosuslugi.ru/crt 页面下载文件：据 «Код» 报道，那里有适用于 Windows、macOS、Linux、Android 和 iOS 的说明。据 TKS.RU 报道，数字发展部在 2026 年 7 月专门提醒不要从第三方网站获取证书。下载后，请用上表核对根证书的指纹。

iPhone 和 iPad

在 Safari 中打开证书页面，下载 iOS 描述文件，然后轻点“允许”。
在“设置”中打开“已下载描述文件”并安装。
前往“设置”→“通用”→“关于本机”→“证书信任设置”。
为 Russian Trusted Root CA 开启完全信任。根据 Apple 帮助文档，对于手动安装的描述文件，TLS 信任不会自动开启。

Android（菜单项依据 Google 关于 Pixel 的帮助文档，其他品牌的名称可能不同）

下载根证书文件。
打开“设置”→“安全与隐私”→“更多安全设置”→“加密与凭据”→“安装证书”。
选择“CA 证书”，阅读警告后轻点“仍然安装”。
选择下载的文件。如果手机没有设置 PIN 码或密码，系统会要求你设置一个。

Windows

下载根证书和签发证书，打开根证书文件。
点击“安装证书”，选择“当前用户”。
勾选“将所有的证书都放入下列存储”，并指定“受信任的根证书颁发机构”。
对签发证书重复上述步骤，然后重启浏览器。

Mac

双击下载的文件，它会被添加到“钥匙串访问”中。
打开证书，展开“信任”部分，选择“始终信任”。
输入 Mac 密码确认，然后重启浏览器。

据 «Код» 报道，Firefox 可能需要在自己的设置中单独导入根证书。如果你在那里添加过根证书，删除时也要在 Firefox 中操作。

如何删除俄罗斯数字发展部证书？

随时都可以删除，操作是可逆的。删除后，使用国家认证中心证书的银行网站在 Chrome 和 Safari 中会再次报错，但银行应用和 Yandex Browser 仍可正常使用。

设备	在哪里删除
iPhone、iPad	“设置”→“通用”→“VPN与设备管理”→ 数字发展部描述文件 →“移除描述文件”。如果只想关闭信任，在“证书信任设置”中关闭开关
Android	“加密与凭据”→“受信任的凭据”→“用户”标签 → Russian Trusted Root CA →“移除”
Windows	Win+R → certmgr.msc →“受信任的根证书颁发机构”→“证书”→ Russian Trusted Root CA →“删除”
Mac	“钥匙串访问”→ 搜索“Russian Trusted”→ 删除两个证书

Android 上还有一个“清除凭据”按钮：根据 Google 帮助文档，它会一次性删除所有用户证书，不会动系统证书。但如果你有工作 Wi-Fi 的证书，它们也会和数字发展部根证书一起被删除。

俄罗斯数字发展部证书与 VPN：VPN 能帮你打开银行网站吗？

不能。“您的连接不是私密连接”这个错误是浏览器在存储中找不到根证书时自己给出的，流量经过哪个网络对这项检查没有影响。VPN 不能代替证书，证书也不会妨碍 VPN。

两者之间的关系在别处。只有在流量传输路径上才能替换网站证书。只要连接通过 VPN 隧道，运营商和 TSPU 设备就只能看到通往服务器的加密隧道，详见文章运营商能看到什么。但很多 VPN 会让俄罗斯网站绕过隧道，也就是说，这时银行是直连打开的。

如果银行因为其他原因拒绝你访问，那就不是证书的问题了。银行会拒绝来自境外地址的访问，或者限制通过 VPN 登录：原因和解决办法见文章银行不允许通过 VPN 访问和在国外使用 Sberbank Online。

我们为什么推荐 BessyConnect

在他人的网络中获得受保护的连接，我们推荐 BessyConnect。这是一款开箱即用的应用：服务器已经内置，不需要找密钥，而是否安装数字发展部根证书，仍是一个单独的、完全由你自己做的决定。

VLESS 加 Reality 伪装。 流量看起来就像普通的 HTTPS，连接能抵御 DPI。
超过 100 台服务器，如果某台不好用，可以换一台。
不保留日志，无需注册。
有试用期，可以在自己的网络中测试效果。

应用支持 iPhone、iPad、Mac、Apple TV、Android 和 Android TV：

iPhone、iPad、Mac 和 Apple TV — App Store
Android — Google Play
Android TV — Google Play
所有平台 — 下载页面

它的局限如下。BessyConnect 不能修复银行网站的证书错误：这需要国家认证中心根证书、Yandex Browser 或银行应用。如果流量绕过了隧道，它也无法防范系统中已安装的根证书。它没有 Windows 应用。俄罗斯区 App Store 里也没有 BessyConnect，在 iPhone 上需要用其他国家或地区的 Apple 账户安装。

如果你需要在 iPhone、Mac 或 Android 上获得加密连接，又不想在系统中安装多余的证书，可以从 BessyConnect 开始：所有版本都汇总在下载页面。

常见问题

必须安装俄罗斯数字发展部证书吗？ 不必，法律没有这样的要求。2026 年 10 月 26 日，俄罗斯银行协会提议强制要求在智能手机上预装，但目前还没有这项要求。

Sberbank 或 VTB 的应用需要数字发展部证书吗？ 通常不需要：«Новая газета Европа» 引用的专家表示，官方银行应用一般不需要系统证书。这与 Android 文档一致：面向 Android 7.0 及更高版本的应用默认不使用用户安装的证书。

可以删除数字发展部证书吗？ 可以，随时都行：在 iPhone 上通过“VPN与设备管理”，在 Android 上通过“受信任的凭据”→“用户”，在 Windows 上通过 certmgr.msc。删除后，使用国家认证中心证书的银行网站将只能在 Yandex Browser 或应用中打开。

如何确认下载的是真正的证书？ 打开文件属性，核对 SHA-256 指纹：Russian Trusted Root CA 的指纹以 D2:6D:2D:02 开头，以 CA:8E:CF:31 结尾，有效期至 2032 年 2 月 27 日。

如果银行网站提示“您的连接不是私密连接”，BessyConnect 能解决吗？ 不能，这个错误要靠国家认证中心根证书、Yandex Browser 或银行应用来解决。BessyConnect 的用途不同：它提供基于 VLESS、采用 Reality 伪装的受保护连接，有 100 多台服务器，还有试用期，可以在自己的网络中测试。

登录