«Подключение не защищено» на сайтах Сбербанка, ВТБ, Альфа-Банка и РЖД: что делать

Вы открываете сайт Сбербанка, ВТБ или Альфа-Банка, а вместо страницы входа браузер показывает «Подключение не защищено» и советует вернуться назад. Сайт не открывается ни на компьютере, ни в телефоне, хотя остальной интернет работает. С августа 2026 года такую ошибку в Chrome, Safari, Edge и Firefox видят клиенты большинства крупных банков, а с 20 августа — и пользователи сайта РЖД.

Это не взлом и не поломка устройства. Банки перешли на сертификаты Национального удостоверяющего центра (НУЦ) Минцифры с корнем Russian Trusted Root CA, а зарубежные браузеры им по умолчанию не доверяют. Ниже — что именно происходит, какие сайты отдавали такой сертификат при нашей проверке 3 октября 2026 года, как открыть сайты в Яндекс Браузере и что не поможет.

Как выглядит ошибка «Подключение не защищено» в браузерах и приложениях

Текст предупреждения зависит от браузера, но причина везде одна: браузер не смог проверить, кто выдал сертификат сайта.

• Chrome и Edge на компьютере и Android: «Подключение не защищено» или похожее предупреждение с кодом ошибки NET::ERR_CERT_AUTHORITY_INVALID.
• Safari на Mac, iPhone и iPad: «Это подключение не защищено». Для сайта РЖД на iPhone РИА Новости приводило и пояснение: «Этот сайт может имитировать www.rzd.ru с целью кражи Вашей личной или финансовой информации».
• Firefox: «Предупреждение: Вероятная угроза безопасности» с кодом SEC_ERROR_UNKNOWN_ISSUER.
• Ярлык сайта на экране телефона (веб-приложение): это тот же сайт, поэтому и ошибка та же — об этом писала «Российская газета».

Приложения банков, как правило, продолжают работать: они не пользуются списком доверенных центров браузера. 7 августа Минцифры отдельно подчеркнуло, что официальные приложения банков по-прежнему дают доступ ко всем услугам. Оговорки есть: Т-Банк советует обновить приложение до последней версии, в которую встроены российские сертификаты, а приложению «РЖД Пассажирам» на iPhone нужны установленные сертификаты Минцифры. На Android, по словам РЖД, оно работает и без них.

Почему сайт Сбербанка не открывается: сертификаты Минцифры и Russian Trusted Root CA

Каждый сайт с адресом на https предъявляет браузеру сертификат — электронный документ, который подтверждает, что вы попали на настоящий сайт, и позволяет зашифровать соединение. Выдаёт его удостоверяющий центр. Браузер проверяет цепочку: сертификат сайта подписан выпускающим центром, тот — корневым, а корневой должен быть в списке доверенных, встроенном в операционную систему или в сам браузер. Если корня в списке нет, браузер не может подтвердить подлинность сайта и показывает предупреждение.

С июня 2026 года зарубежные удостоверяющие центры отзывают сертификаты российских компаний. 13 июня начал GlobalSign, а по данным «Российской газеты», летом сертификаты российских банков отзывали также Let's Encrypt, Actalis, HARICA и TrustAsia. Банки перешли на сертификаты НУЦ Минцифры: его корневой сертификат называется Russian Trusted Root CA, выпускающий — Russian Trusted Sub CA. НУЦ работает с 2022 года, но в браузерах и системах зарубежных производителей этого корня по умолчанию нет. Отсюда и ошибка: сертификат рабочий, соединение шифруется, но браузер не знает центр, который его выдал.

В Яндекс Браузер (партнёрская ссылка) сертификат Минцифры уже встроен, поэтому сайты банков открываются в нём без настроек — это подтверждают и Минцифры, и сам «Яндекс».

Хронология: как банки и РЖД перешли на сертификаты Минцифры

Наш замер 3 октября 2026 года: российский IP ошибку не убирает

Чтобы проверить, зависит ли ошибка от страны, 3 октября 2026 года мы запросили главные страницы банков и РЖД из четырёх стран: из двух домашних сетей в России (Ростелеком, Нижний Новгород, и МТС, Новосибирск), из домашней сети в Германии (Deutsche Telekom, Берлин), из домашней сети в Казахстане (Казахтелеком, Алматы) и с нашего сервера в дата-центре в Тбилиси. В таблице — кто выдал сертификат, который отдал сайт. «НУЦ» — значит, сертификат выдан Russian Trusted Sub CA, то есть НУЦ Минцифры.

Везде, где соединение установилось, сайт отдал один и тот же сертификат НУЦ — в том числе в российских домашних сетях. Значит, ошибка зависит не от страны и не от IP-адреса, а от того, доверяет ли ваш браузер корню Минцифры. Сайт РЖД из Германии и из дата-центра в Тбилиси не ответил вовсе: соединение не установилось за отведённое время, и сертификат тут ни при чём. Из Казахстана rzd.ru ответил пробе в сети NLS Kazakhstan (проба Казахтелекома в тот момент была отключена), а для bspb.ru проба в Казахстане не вернула результат.

Сертификат НУЦ при проверке из Тбилиси отдали также страницы входа online.sberbank.ru, online.vtb.ru, web.alfabank.ru и id.tbank.ru, а также сайты МКБ, Росбанка, Банка ДОМ.РФ, МТС Банка, банка «Россия», банка «Зенит», Абсолют Банка, ВБРР, банка «Синара», Национальной системы платёжных карт (nspk.ru) и Росстата. А Госуслуги, Газпромбанк, Райффайзенбанк, ОТП Банк, Русский Стандарт и Ozon Банк в тот же день работали на сертификатах зарубежных центров, которым браузеры доверяют.

Как мы мерили: запрашивали главную страницу из каждой точки — через открытую сеть измерений Globalping и наш собственный зонд в Тбилиси. Проверяли только сертификат главных страниц, а не вход в кабинет и не приложения. Сайты меняют сертификаты без объявления, поэтому таблица — снимок на 3 октября 2026 года.

Что не поможет: VPN, российский IP, смена DNS и очистка кэша

• VPN и российский IP. Из российских домашних сетей сайты отдают тот же сертификат, что и из Германии или Казахстана, — это видно по замеру выше. А 20 августа РИА Новости зафиксировало ошибку на сайте РЖД у пользователей в самой России.
• Смена DNS. DNS лишь подсказывает адрес сервера, а сертификат отдаёт сам сервер. При нашей проверке sberbank.ru и в России, и в Германии, и в Казахстане вёл на один и тот же адрес.
• Очистка кэша и режим инкогнито. Сертификат сайта от этого не меняется. Очистка кэша сертификат не исправит; если ошибка осталась, Т-Банк советует очистить кэш.
• Другой зарубежный браузер. Корня Минцифры по умолчанию нет ни в Chrome, ни в Safari, ни в Edge, ни в Firefox.
• Кнопка «Дополнительно» → «Перейти на сайт». Страница откроется, но нажатие ничего не проверяет, а только выключает предупреждение. Вводить пароль и коды на такой странице не стоит: эксперты напоминают, что та же ошибка бывает и при настоящей атаке на соединение.

Нужно ли устанавливать сертификаты вручную?

Не обязательно. Сайты банков и РЖД открываются в Яндекс Браузере без дополнительных действий: сертификаты Минцифры в нём уже встроены. В других браузерах сертификаты можно установить вручную по официальной инструкции Госуслуг (gosuslugi.ru/crt), но мы этого не советуем: корневой сертификат доверяет любому сайту, который его предъявит, а проще открыть нужный сайт в Яндекс Браузере.

Без установки: Яндекс Браузер или приложение банка

• Яндекс Браузер. Сертификат Минцифры в него уже встроен, сайты банков и РЖД открываются без настроек. Его можно держать только для российских сайтов. На телефоне Т-Банк советует сделать Яндекс Браузер браузером по умолчанию, иначе при переводах и платежах в интернете возможны сбои.
• Браузер «Атом» от VK в публикациях 2026 года тоже называют поддерживающим сертификаты Минцифры, но при проверке 3 октября 2026 года в RuStore он значился как недоступный для скачивания. Рассчитывать на него не стоит.
• Приложение банка. Если оно у вас есть, пользуйтесь им: Минцифры подчёркивает, что официальные приложения продолжают работать. Обновите его до последней версии.

Безопасно ли устанавливать сертификаты Минцифры?

Минцифры называет установку безопасной: сертификаты работают так же, как сертификаты зарубежных центров, и не влияют на работу устройства. Сертификат — это не программа: он ничего не запускает на телефоне или компьютере, а только сообщает браузеру, каким сайтам верить.

Но стоит понимать, на что вы соглашаетесь. Добавляя корневой сертификат, вы разрешаете устройству доверять сертификатам, которые его владелец выпустит для любых сайтов, — так устроен любой корневой сертификат, российский или зарубежный (Финуслуги). Поэтому ставят их осознанно и только с официальной страницы. Для сравнения: Яндекс Браузер, по его справке, принимает сертификаты таких центров, только если они записаны в два публичных журнала Certificate Transparency, — это механизм, который помогает заметить сертификат, выпущенный по ошибке или мошенниками.

Если банк нужен вам изредка, более узкий вариант — отдельный браузер или приложение банка. Установленный сертификат можно в любой момент удалить; как — рассказываем в вопросах ниже.

Если сайт банка не открывается по другой причине

• Предупреждение на всех сайтах подряд. Скорее всего, сбились дата и время на устройстве или мешает антивирус — сертификаты Минцифры тут ни при чём.
• Предупреждение на одном сайте, куда вы пришли по ссылке. Сверьте адрес посимвольно: поддельные сайты отличаются одной буквой или доменной зоной.
• Сайт открылся, но банк не пускает или просит отключить VPN. Это уже не сертификат, а проверки самого банка. Как они устроены для тех, кто за границей, разобрали отдельно: как зайти в Сбербанк Онлайн и Т-Банк из-за границы.

Коротко о главном

• «Подключение не защищено» на сайтах Сбербанка, ВТБ, Альфа-Банка и других банков — следствие перехода на сертификаты НУЦ Минцифры: их корня нет в списках Chrome, Safari, Edge и Firefox.
• По нашему замеру 3 октября 2026 года сертификат НУЦ отдают сайты 9 крупных банков и РЖД — и в России, и за рубежом.
• VPN, российский IP, смена DNS и очистка кэша ошибку не убирают.
• Официальные способы: Яндекс Браузер или приложение банка.
• Корневой сертификат — это доверие удостоверяющему центру для любых сайтов: ставьте его осознанно и только с Госуслуг.