Перейти к основному содержимому

Политика ограничений на выпуск SSL-сертификатов (регионы и др.)

Ограничения на выпуск SSL-сертификатов в основном определяются международными санкционными политиками, национальными нормативными актами и требованиями соответствия удостоверяющих центров (CA). Ниже приведён анализ конкретных регионов с ограничениями и причин: ограничения по международным санкционным спискам, ограничения по национальным нормативным актам и способы решения.

1. Ограничения по международным санкционным спискам​

Большинство крупных международных CA (например, DigiCert, Sectigo, Let's Encrypt) обязаны соблюдать санкционные списки США/ЕС/ООН, поэтому для следующих регионов выпуск сертификатов обычно невозможен:

Регион/странаПричина ограничения
ИранПод санкциями США (список OFAC)
Северная КореяСанкции ООН и ряда стран, запрещены финансовые и технологические услуги
СирияСанкции США (список поддержки терроризма)
КрымПосле аннексии Россией международное сообщество не признаёт его легитимность
КубаДлительное торговое эмбарго США (некоторые CA могут частично смягчать ограничения)
Влияние
  • Невозможность получить сертификат: домены или организации из регионов под санкциями не могут получить сертификат через международные CA.
  • Ограничения доступа: при посещении пользователями HTTPS-сайтов из этих регионов браузер может показывать предупреждение из-за отсутствия сертификата.

2. Ограничения по национальным нормативным актам​

Некоторые страны законодательно требуют использования локальных CA или определённых криптографических стандартов, что косвенно ограничивает использование международных сертификатов:

СтранаТребования нормативных актов
КитайСайты внутри страны должны использовать отечественные сертификаты (например, CFCA, Shanghai CA) и пройти ICP-регистрацию
РоссияВ критически важных отраслях (государственные органы, финансы) требуются сертификаты по стандарту ГОСТ (например, CryptoPro)
ИндияВ части государственных проектов обязательны локальные CA (например, eMudhra)
Южная КореяВ финансовой сфере требуются сертификаты национальной сертификации (например, Crosscert)
Влияние
  • Риски несоответствия требованиям: использование международных сертификатов может нарушать местное законодательство, что приведёт к блокировке сервиса или штрафам. Технические ограничения: некоторые локальные сертификаты могут не поддерживать международные стандарты (например, ГОСТ), что требует дополнительной настройки.

3. Ограничения для отдельных отраслей​

Для доменов некоторых чувствительных отраслей (например, военная сфера, азартные игры, контент для взрослых) выпуск сертификатов может быть ограничен политикой CA:

ОтрасльПричина ограничения
Азартные игры/лотереиНарушение базовых требований CA/Browser Forum (некоторые CA требуют дополнительной проверки)
Контент для взрослыхНекоторые CA отказывают в выпуске или требуют строгой проверки личности
Даркнет/незаконная деятельностьВсе легальные CA отказывают в выпуске (домены обычно .onion или другие незаконные суффиксы)

4. Способы обхода ограничений​

СценарийРешение
Регионы под санкциямиИспользовать локальные CA или самоподписанные сертификаты (требуется ручное доверие пользователя, подходит для внутренних систем)
Необходимо соблюдать государственные нормативные требованияВыберите локальный ЦС, соответствующий требованиям страны (например, для Китая — CFCA, для России — CryptoPro)
Особые отраслиНайдите ЦС, который принимает данную отрасль (например, Sectigo выдаёт сертификаты для игорного бизнеса при соблюдении условий)

5. Как проверить наличие ограничений?​

  • Публичная политика ЦС: ознакомьтесь со списком стран, находящихся под санкциями, на официальном сайте ЦС (например, санкционная политика DigiCert).
  • WHOIS-запрос: проверьте код страны в регистрационных данных домена (например, иранский домен .ir может быть заблокирован ЦС).
  • Юридическая консультация: уточните требования соответствия для целевой страны или отрасли.

6. Часто задаваемые вопросы​

Ниже приведены списки ограничений по регионам и конкретные санкционные перечни ЦС, которые часто запрашиваются в настоящее время. Если возникнут особые случаи с названием компании или доменом, обратитесь к менеджеру по работе с клиентами.

  1. О правилах выпуска сертификатов для России:

    1. Домены с окончанием .ru: только GlobalSign поддерживает выпуск DV-сертификатов для доменов .ru, остальные не поддерживают

    2. OV-сертификаты для российских организаций: (домен не содержит .ru, но в названии организации присутствует «Россия»)

      • A. GlobalSign DV поддерживает, OV — нет
      • B. CFCA не поддерживает
      • C. DigiCert определяет по стране регистрации организации — является ли она Россией
      • D. Certum не поддерживает
      • E. Sectigo определяет по стране регистрации организации — является ли она Россией, организация проходит отдельную проверку

  2. Официальное описание списка ограничений на выпуск Sectigo: в основном это Куба, Россия, Иран, КНДР и другие страны. При изменениях руководствуйтесь официальным сайтом или обратитесь к менеджеру по работе с клиентами.

Последнее обновление