Зачем нужен сертификат Минцифры на Mac
Некоторые российские сайты используют для защиты соединения сертификаты Национального удостоверяющего центра Минцифры. Safari и Chrome на Mac не знают об этом центре по умолчанию, поэтому могут показывать ошибку и не открывать страницу. Признак проблемы: сайт открывается в Яндекс Браузере, а в Safari пишет, что соединение небезопасно или удостоверяющий центр неизвестен.
Решение: добавить корневой и выпускающие сертификаты в систему через приложение «Связка ключей» и включить для каждого доверие. После этого браузер перестанет ругаться на российские сайты с национальной цепочкой сертификатов.
Сертификат Минцифры использует обычную цепочку X.509 с RSA, а не криптографию ГОСТ. Установка решает проблему доверия к российскому удостоверяющему центру, но не добавляет браузеру поддержку ГОСТ-алгоритмов. Для обычных сайтов отдельный криптопровайдер не нужен: он требуется только для ГОСТ TLS, электронной подписи или функций конкретной информационной системы.
Если задача состоит в работе с уже выданной электронной подписью, это отдельный процесс: настройка электронной подписи на MacBook в Москве. Совместимость проверяют для токена, версии macOS, криптопрограммы, браузера и целевого портала. Установка корневого сертификата не выпускает личную подпись и не подтверждает готовность рабочего комплекта.
В Петербурге также можно согласовать настройку уже выданной электронной подписи на Mac для вашего токена и портала. Выпуск подписи и подписание за владельца в эту работу не входят.
Важно. Скачивайте сертификат только с портала Госуслуг. Корневой сертификат меняет правила проверки HTTPS-соединений на Mac, поэтому файл из письма, мессенджера или случайной инструкции может быть подделкой. Если сомневаетесь в происхождении файла, проверьте Mac: «Вирус на Mac».
Где скачать сертификат
Сертификаты для macOS распространяются в виде архива с файлом RussianTrustedCA.pem. Внутри может быть несколько сертификатов: корневой Russian Trusted Root CA и выпускающий Russian Trusted Sub CA. Дополнительно на Госуслугах есть второй файл Russian Trusted CA 2024.pem с ещё одним выпускающим сертификатом.
- Откройте страницу установки сертификатов на портале Госуслуг.
- Выберите раздел для macOS.
- Нажмите кнопку скачивания и дождитесь загрузки архива в папку «Загрузки».
- Откройте Finder, перейдите в «Загрузки» и дважды нажмите архив, чтобы распаковать его.
Не используйте старый архив, который лежит в «Загрузках» несколько месяцев. Национальный УЦ выпускает новые промежуточные сертификаты, поэтому перед установкой скачайте комплект заново.
Импорт сертификата в «Связку ключей»
«Связка ключей» (Keychain Access) это встроенное приложение macOS, где хранятся сертификаты, пароли и ключи. Чтобы открыть его, нажмите Command + Пробел для вызова Spotlight, введите «Связка ключей» и нажмите Return.
- Дважды нажмите файл RussianTrustedCA.pem в Finder. macOS откроет «Связку ключей».
- В окне, которое сообщает, что приложение пытается изменить связку ключей, введите имя пользователя и пароль администратора macOS.
- Нажмите «Изменить связку ключей».
- Если файл не открывается двойным нажатием, запустите «Связку ключей» вручную, выберите слева связку «Вход» и перетащите файл сертификата в окно приложения.
В «Связке ключей» выберите слева раздел «Вход» и перейдите на вкладку «Сертификаты». Там должны появиться записи Russian Trusted Root CA и Russian Trusted Sub CA. Рядом с корневым сертификатом будет красная пометка: она означает, что доверие ещё не включено.
Если на Госуслугах есть второй файл Russian Trusted CA 2024.pem, повторите импорт и для него. После импорта в списке появится ещё один сертификат Russian Trusted Sub CA со сроком действия до 19 июля 2029 года.
Совет: если при двойном нажатии на файл .pem macOS выбирает не ту связку ключей, запустите «Связку ключей» вручную, выберите в меню «Файл» пункт «Импортировать объекты» и укажите файл. Перед импортом нажмите «Параметры» и убедитесь, что выбрана связка «Вход».
Названия кнопок могут немного отличаться в macOS Ventura 13 и Monterey 12, но общий порядок тот же: импортировать сертификат, включить доверие, перезапустить браузер.
Включение доверия
Импорт добавляет сертификат в систему, но не делает его доверенным. Доверие нужно включить вручную для каждого сертификата.
Доверие корневому центру распространяется на цепочки, которые завершаются этим корнем, и не ограничивается одним выбранным сайтом. Перед изменением согласуют источник сертификата, хранилище и политику доверия. Если нужна помощь в Москве, можно заказать установку сертификата Минцифры на MacBook с проверкой выбранного браузера; пароль администратора вводит владелец.
Для помощи в Петербурге предусмотрена настройка сертификата Минцифры на MacBook. Источник и изменение доверия согласуем до установки, затем проверяем выбранный сайт и браузер.
- В «Связке ключей» дважды нажмите сертификат Russian Trusted Root CA.
- Раскройте раздел «Доверие».
- В пункте «При использовании этого сертификата» выберите «Всегда доверять».
- Закройте окно сертификата.
- Введите имя пользователя и пароль администратора macOS и нажмите «Обновить настройки».
Повторите те же действия для сертификата Russian Trusted Sub CA и, если он был импортирован, для Russian Trusted Sub CA 2024.
Важно. Проверьте, что после настройки ни у одного из импортированных сертификатов не осталось красной пометки. Если она есть, откройте этот сертификат и выставьте доверие так же.
После настройки доверия полностью закройте браузер сочетанием Command + Q и откройте его заново. Очистите кеш браузера, если сайт по-прежнему не открывается: Safari хранит старую информацию о сертификатах и может не сразу подхватить изменения.
Что проверить, если сайт не открывается
| Симптом | Что проверить |
|---|---|
| Сайт не открывается в Safari, но работает в Яндекс Браузере | Не установлен сертификат Минцифры или не включено доверие |
| «Связка ключей» пишет, что сертификату нет доверия | Не включено доверие в разделе «Доверие» |
| После импорта сайт всё ещё не открывается | Браузер не перезапущен или не очищен кеш |
| «Связка ключей» не открывает файл .pem | Открыть приложение вручную и перетащить файл в окно |
| Mac запрашивает пароль, но пароль не подходит | Нужен пароль учётной записи macOS, а не Аккаунта Apple |
| Сертификат установлен, но сайт пишет о небезопасном соединении | Проверьте дату и время: неверная дата вызывает ошибку сертификата |
Дата и время на Mac проверяются в «Системные настройки» → «Основные» → «Дата и время». Включите автоматическую установку времени и часового пояса. Неверная системная дата вызывает ошибку сертификата, и установка нового корневого сертификата такую ошибку не исправит.
Если браузер устарел, обновите macOS: старая версия Safari может не поддерживать актуальные стандарты шифрования. Как обновить систему: «Как обновить macOS на MacBook».
Если сайты не открываются и в других браузерах, проверьте подключение к интернету. Разбор проблем с сетью: «Не работает Wi-Fi на MacBook».
Особенности Firefox
Firefox использует собственное хранилище сертификатов и не обращается к «Связке ключей» при проверке сайтов. Импорт сертификата через «Связку ключей» для Firefox не работает: нужно добавить сертификат отдельно в настройках браузера, в разделе сертификатов.
Порядок для Firefox: откройте настройки браузера, найдите раздел про сертификаты, нажмите просмотр сертификатов, на вкладке центров сертификации импортируйте файл RussianTrustedCA.pem и отметьте доверие для веб-сайтов. После импорта перезапустите Firefox.
Для Safari, Chrome и Edge на Mac отдельная настройка не нужна: эти браузеры используют системное хранилище сертификатов, то есть «Связку ключей».
Как удалить сертификат
Если сертификат больше не нужен, его можно удалить из «Связки ключей».
- Откройте «Связку ключей» и выберите связку «Вход».
- Перейдите на вкладку «Сертификаты».
- Найдите Russian Trusted Root CA, Russian Trusted Sub CA и Russian Trusted Sub CA 2024, если он был установлен.
- Выделите каждый сертификат и нажмите клавишу Delete.
- Подтвердите удаление паролем администратора macOS.
После удаления перезапустите браузер. Если сертификат был установлен через профиль управления на корпоративном Mac, удалите профиль в «Системные настройки» или обратитесь к администратору устройства.
Короткая памятка
| Задача | Что сделать |
|---|---|
| Скачать сертификат | Портал Госуслуг, раздел для macOS |
| Импортировать в систему | Двойное нажатие файла .pem или перетаскивание в «Связку ключей» |
| Включить доверие | «Связка ключей» → сертификат → «Доверие» → «Всегда доверять» |
| Проверить результат | Перезапустить браузер и открыть проблемный сайт |
| Удалить сертификат | Выделить в «Связке ключей» и нажать Delete |
Процедура одинакова для MacBook на Apple Silicon и Intel: разницы в шагах нет. Если после всех настроек сайты по-прежнему не открываются и причина не в сертификате, мастер проверит устройство и назовёт цену до начала работ. Диагностика MacBook.