На 23 апреля 2026 года кибератаки становятся всё изощрённее, и мошенники всё чаще подделывают SSL-сертификаты, чтобы убедить пользователей в «безопасности» фальшивых сайтов. В этой статье мы разберёмся, как проверить подлинность сертификата и что делать, чтобы не стать жертвой мошенников.

Что такое SSL-сертификат и зачем он нужен?

SSL-сертификат — это электронный файл, который:

• доказывает, что домен и организация действительно принадлежат указанному владельцу;
• обеспечивает шифрование данных между браузером и сервером;
• повышает доверие посетителей и улучшает SEO-позиции.

Важно: наличие HTTPS и зелёного замка в адресной строке ещё не гарантируют, что вы находитесь на легальном сайте. Злоумышленники могут выпустить «дикий» или скомпрометированный сертификат.

Как проверить подлинность сертификата вручную

Проверка в браузере

Нажмите на иконку замка слева от адреса → «Сертификат» (Chrome, Edge) или «Подробнее» → «Просмотреть сертификат» (Firefox).

1. Кому выдан: убедитесь, что в поле Issued to указано корректное имя организации и домен без опечаток.
2. Кем выдан: известные центры сертификации (CA): Let’s Encrypt, DigiCert, GlobalSign, Sectigo и др. Если CA неизвестен или выглядит подозрительно — будьте осторожны.
3. Срок действия: даты Not Before и Not After должны охватывать текущий день. Сертификат, просроченный на год, — повод закрыть вкладку.
4. Тип валидации: EV (Extended Validation) отображает полное название компании в строке адреса; DV (Domain Validation) — только домен; OV (Organization Validation) — доступен в деталях сертификата.

Проверка через сторонние сервисы

• SSL Labs SSL Test — глубокий анализ конфигурации и цепочки доверия.
• crt.sh, поиск сертификатов по домену в базе Certificate Transparency.
• Check-Host SSL Check — быстрая проверка из разных точек мира.

Автоматические инструменты защиты

Чтобы не проверять каждый сайт вручную, рекомендуем:

• Браузеры обновлять до последней версии: они автоматически отклоняют скомпрометированные или самоподписанные сертификаты.
• Расширения:
  • HTTPS Everywhere (Electronic Frontier Foundation) — принудительно переводит на HTTPS.
  • Certificate Patrol (Firefox) — отслеживает изменения сертификатов и предупреждает о подозрительных.
• Антивирусы и Endpoint Protection (например, Kaspersky, Windows Defender) проверяют цепочку доверия и блокируют фишинговые ресурсы по базам данных.

Красные флаги: как распознать фальшивый сертификат

Немедленно закрывайте вкладку, если:

1. Сертификат самоподписанный (self-signed) — браузер выдаст ошибку «NET::ERR_CERT_AUTHORITY_INVALID».
2. Имя организации в поле Issued to не совпадает с доменом или содержит опечатки, например paypal.com.ru вместо paypal.com.
3. Цепочка доверия прерывается: промежуточный сертификат отсутствует или недействителен.
4. Сертификат был выпущен за день до вашего визита и сразу же используется для сбора платежей — типичный признак мошенничества.
5. Отсутствует запись в Google Certificate Transparency, но браузер при этом не жалуется — возможен компромисс корневого CA.

Дополнительные меры безопасности для владельцев сайтов

• HSTS (HTTP Strict Transport Security), заголовок, который запрещает браузеру обращаться по HTTP и защищает от downgrade-атак.
• CAA (Certificate Authority Authorization) — DNS-запись, указывающая, какие CA имеют право выдавать сертификаты для вашего домена.
• OCSP Stapling, ускоряет проверку статуса сертификата и снижает нагрузку на CA.
• Мониторинг Certificate Transparency — подписка на уведомления (например, SSLMate Cert Spotter) о новых сертификатах, выданных на ваш домен.

Алгоритм быстрой проверки за 30 секунд

1. Щёлкните по замку → «Сертификат».
2. Сверьте домен/организацию и дату окончания.
3. Убедитесь, что выдан известным CA.
4. Проверьте цепочку доверия — должно быть 2–3 сертификата.
5. Если хотя бы один пункт вызывает сомнения — не вводите пароли и карточные данные.

SSL-сертификат — важный, но не абсолютный индикатор безопасности. Проверяйте подлинность вручную или автоматически, используйте многоуровневую защиту и следите за аномалиям. Соблюдая эти правила, вы minimize риск попасться на удочку мошенников даже в 2026 году, когда технологии фальсификации стали ещё сложнее.

Будьте бдительны и не делитесь чувствительными данными, пока не убедитесь в подлинности сертификата.