Платежные сервисы Сбербанка перешли на сертификаты Минцифры. Как теперь работает оплата в интернет-магазинах

В конце 2022 года мы сообщали, что Сбербанк переведёт свои сайты, системы и сервисы на российские сертификаты шифрования, что потребует от пользователей использовать российский интернет-браузер или сертификат безопасности Минцифры при оплате услуг и покупке товаров в интернет-магазинах.

Большинство сайтов сегодня устанавливают защищенное соединение с пользователями, используя криптографические протоколы, такие как TLS или SSL. Однако, чтобы браузер мог подтвердить, что соединение настоящее, а не поддельное, существуют TLS-сертификаты, выдаваемые удостоверяющими центрами (УЦ).

До весны прошлого года в России не существовало национальных удостоверяющих центров, даже государственные веб-ресурсы использовали услуги зарубежных сертификатов. Однако после отзыва сертификатов у некоторых российских подсанкционных организаций в марте 2022 года, Минцифры начало выдавать свои эквиваленты технологии TLS – российские TLS-сертификаты Russian Trusted Root CA.

При посещении сайта с сертификатом, выданным российским удостоверяющим центром, браузер может сообщить об ошибке незащищенного соединения. Это потому, что ни один иностранный браузер или ОС не признает удостоверяющий центр Минцифры.

Чтобы избежать появления ошибки при посещении платёжного шлюза Сбербанка, была разработана следующая схема:

• Если браузер посетителя поддерживает российский сертификат, то он будет перенаправлен на страницу securepayments.sberbank.ru.
• Если же используется иностранный браузер, то Сбербанк перенаправит на один из пяти альтернативных доменов, которые все еще защищены сертификатами, выданными иностранными удостоверяющими центрами, например, securecardpayment.ru, secure-payment-way.ru и др.

Однако, использование такого важного сервиса вне официального имени домена Сбербанка может вызвать сомнения у пользователей. Если не знать об этой детали, то указанные выше адреса можно легко принять за мошеннические.

Специалисты рекомендуют два решения. Одно из них – использовать российские веб-браузеры Яндекс.Браузер и Атом, со встроенным корневым сертификатом от Минцифры. Другой вариант – установить российский TLS-сертификат Russian Trusted Root CA вручную, чтобы он поддерживался вашей операционной системой.