Теперь есть. Она еще и записывать умеет!

Хроника военных действий госмессенджера:

Историю MAX за весну и начало лета 2026 года удобнее читать как цепочку. Каждое звено само по себе не то, чтоб мелочь, но вместе они показывают, как мессенджер выдавливают из мирового интернета.

9 апреля. Первым под удар попал не MAX, а Telega — сторонний клиент Telegram. Cloudflare отнёс его рабочие домены к шпионскому ПО, и в тот же день приложение пропало из App Store. В Google Play и RuStore оно осталось. Через пару дней разработчики написали, что метку с них сняли как ошибочную.

Но следом GlobalSign отозвал у Telega сертификат. Получился готовый сценарий, по которому дальше пойдёт и MAX.

30 апреля. Cloudflare Radar помечает домен max.ru как Spyware, а заодно как вредоносный. Важно понимать, что это автоматическая метка, а не доказанный шпионаж: систему насторожило поведение веб-страницы и её аналитики, само приложение никто не разбирал. Домен, по открытым данным, держится на сети VK и использует серверы имён от ok.ru.

1 мая. В VK объясняют всё технической ошибкой: Cloudflare неверно прочитал заголовки запросов к обычной веб-аналитике. Компания заявляет, что проходит аудиты и держит Bug Bounty. Это, кстати, правда — некая Tüv Austria Standards & Compliance провела год назад аудит по ISO/IEC 27001:2022, но забывает всем сказать, что это аудит _менеджмента_ безопасности, суть которого продемонстрировать, что там есть какие-то процессы по ИБ. И тут надо заметить, что наличие процессов не исключает преднамеренного слива пользовательских данных по приказу властей. Более того, этот процесс может быть даже прекрасно описан тем самым ISO/IEC 27001:2022.

Метку со страницы домена Cloudflare убирает, но в отчёте за 30 апреля она остаётся — а отчёт уже разошёлся по СМИ. Заодно такая же метка всплывает у web.max.ru, и когда именно — неясно.

4 июня. Apple удаляет приложение MAX из App Store и ссылается на санкции. Пользователям iPhone остаётся веб-версия — как раз её и советуют как обходной путь.

5 июня, вечер. GlobalSign досрочно отзывает TLS-сертификат для *.max.ru. Формально он действовал бы до февраля 2027 года, но получает статус Revoked и разом перестаёт быть доверенным у Mozilla, Apple, Android, Java и Windows.

6 июня. Веб-версию накрывает. Firefox встречает красным экраном, Chrome выдаёт ошибку отозванного сертификата, Safari не пускает дальше совсем. Домен начинает ругать и антивирус Касперского. VK реагирует за считаные часы: переводит платформу на бесплатные сертификаты Let's Encrypt и частично возвращает доступ. Но тысячи пользователей уже упёрлись в предупреждения.

Дальше. В экспертных кругах заговорили об ответе — вплоть до ограничений для техники Apple и для самого GlobalSign, на чьих сертификатах держатся десятки тысяч российских сайтов. Глава Ростелекома Михаил Осеевский назвал шаг Apple недружественным, но призвал не отвечать зеркально. Минцифры тем временем ведёт переговоры с Apple о возвращении MAX в магазин.

Что из этого видно. Удар шёл не в одну точку, а по всей опоре: репутация домена, место в App Store, доверенный сертификат. Выбей любую — и сервис спотыкается. А отзыв сертификата опаснее остального: он бьёт не по одному мессенджеру, а по самому механизму доверия, на котором держится весь рунет.

Об этом — в следующем посте.

...почему отзыв сертификата опаснее удаления из магазина приложений и бьёт не по одной компании, а по всем нам.

Что такое сертификат простыми словами:

— Когда вы открываете сайт банка, браузер должен убедиться, что это и правда банк, а не подделка. Подтверждает это сертификат — цифровое удостоверение от доверенного центра. Замочек в адресной строке означает: связь зашифрована, собеседник проверен. Отзови сертификат — и замочек гаснет. Сайт никуда не девается, но браузер встречает посетителя красным предупреждением или вовсе не пускает дальше.

Отзыв сертификата несет не одну, а сразу две беды:

* Первая бьёт по бизнесу: банк, магазин или госпортал теряет доверие браузеров и часть клиентов, которые не станут продираться сквозь страшный экран.
* Вторая, которая мне кажется более значимой — по самому пользователю. Когда людей раз за разом приучают нажимать продолжить вопреки предупреждению, они перестают эти предупреждения замечать. А именно на этом играют мошенники: на фишинговом сайте честного замочка нет. Так стирают привычку, на которой держится вся безопасность в сети.

Урок 2022 года

Это уже было. Весной 2022-го западные центры отказались продлевать сертификаты подсанкционным компаниям. Под удар попали сайты Центробанка, ВТБ, Совкомбанка, Промсвязьбанка — посетители ненадолго увидели предупреждение подключение не защищено.

Выход нашли, но как обычно половинчатый: 10 марта Минцифры открыло на Госуслугах выдачу бесплатных сертификатов от Национального удостоверяющего центра. Но проблема в том, что корень НУЦ так и не попал в списки доверия Apple, Google и Microsoft. Я тогда много об этом писал, но вот тут есть репост с объяснением от Ивана Бегина: https://tg-me.sbs/zatelecom/23383

Поэтому государственный сертификат по умолчанию работает только в отечественных продуктах вроде Яндекс Браузера, а в остальных его приходится ставить вручную, обходя те же предупреждения.

Разница между 2022 и 2026. Тогда у бизнеса оставалась лазейка: GlobalSign продолжал обслуживать россиян и фактически остался единственным крупным зарубежным центром. Теперь закрывается и эта дверь — именно GlobalSign начал отзывать сертификаты, ссылаясь на новые правила CA/Browser Forum. По оценкам рынка, речь о 15-20 тысячах доменов. Если цифра подтвердится, это будет крупнейшая вынужденная миграция настроек со времён запуска НУЦ.

Итог простой. Отзыв сертификата — это не про один мессенджер и не про один банк. Это про доверие как таковое. Чем чаще людей учат нажимать продолжить, тем беззащитнее они становятся — и тем больше работы у настоящих мошенников.

Заодно попросил нейронку собрать таблицу мирового рынка УЦ по числу выданных сертификатов.

Это нужно для объяснения вариантов ответного шага российских властей.

И еще добавить, что все УЦ очень сильно зависят от небольшого числа игроков в мире бигтеха. Это буквально по пальцам одной руки: Apple, Google, Microsoft. Ну, и пожалуй, Mozilla еще. Все крупнейшие производители браузеров.

Дело в том, что если одна из этих компаний удалит из доверенных корневой сертификат УЦ, то бизнесу УЦ приходит карачун. Никто не будет регистрировать сертификат у компании, если он не работает в браузере Chrome.

Так, например, и произошло с УЦ Entrust в конце 2024 — начале 2025 года полностью потерял доверие со стороны браузеров Google Chrome, Mozilla Firefox и Apple Safari из-за нарушений стандартов безопасности, поэтому его доля рынка в 2026 году сократилась практически до нуля.

Вот список всех УЦ, если хочется самому поразбираться: https://my-ssl.com/learn/top-10-ssl-cas

Теперь главный вопрос: что станет делать в ответ российское руководство. В голову приходят вот такие пять вариантов — от мягкого до крайнего.

1. Договариваться. Минцифры садится за стол с Apple и GlobalSign и пытается вернуть приложения в магазины, а сертификаты — в строй.
Последствия: для пользователя самый безболезненный исход, всё чинится тихо. Но переговоры с теми, кто действует по санкционным правилам, упираются в потолок: компания не вернёт то, что ей запрещено законом её страны.
Вероятность: низкая. Этот разговор уже идёт и пока ни к чему не привёл.

2. Пересадить всех на свой центр. Государство добивается, чтобы корень Национального удостоверяющего центра стоял на каждом устройстве, а сайты переходили на отечественные сертификаты.
Последствия: внутри страны замочек снова загорается. Но в чужих браузерах корень НУЦ как не признавали, так и не признают, поэтому из-за рубежа сайты по-прежнему ругаются, а пользователю всё равно приходится ставить сертификат руками. Лечат симптом, не болезнь.
Вероятность: высокая. Это уже делают с 2022 года, просто ускорят.

3. Зашить корневой сертификат НУЦ в технику и браузеры. Следующий шаг той же логики: обязать продавать в России только устройства с предустановленным корнем НУЦ и подталкивать людей к Яндекс Браузеру, где он работает сам.
Последствия: государственный сертификат становится бесшовным, но лишь в отечественной среде. iPhone и зарубежные браузеры в эту схему не укладываются, и разрыв между двумя интернетами растёт.
Вероятность: средняя. Технически готово, упирается в политическую волю надавить на производителей. Но при этом все равно останется миллионы единиц ввезенной техники и никто не сможет контролировать установку ПО пользователями.

4. Ударить зеркально. Ограничить технику Apple на российском рынке и сам GlobalSign, на чьих сертификатах висят десятки тысяч наших сайтов.
Последствия: красивый жест, но рубящий сук под собой — обвалятся ровно те площадки, что ещё держатся на GlobalSign. Удар по чужим оборачивается ударом по своим.
Вероятность: низкая. Против выступает даже глава Ростелекома Михаил Осеевский, назвавший шаг Apple недружественным, но призвавший не отвечать тем же.

5. Захлопнуть дверь совсем. Не чинить связь с миром, а отгородиться: перевести рунет в режим изоляции, замкнуть трафик на внутренние узлы, национальную систему доменных имён и оборудование фильтрации. Сертификаты от мировых центров тогда просто не нужны — внутри страны действует своя система доверия.
Последствия: техническая независимость ценой обрыва с глобальной сетью, ударов по экономике, банкам, бизнесу, обычной связи. Вероятность: ещё недавно сказали бы — низкая. Сегодня — уже нет.

И вот почему: с недавнего времени мы узнали, что Рунет курирует не Минцифры и не технари внутри ФСБ, а "Вторая служба" — "Служба по защите конституционного строя и борьбе с терроризмом". Та самая, чьи сотрудники причастны к отравлению Навального и Кара-Мурзы. Раньше отрасль вели люди, которые хоть и с майндсетом безопасников, но говорили с рынком на одном языке и считали деньги. А вот эти персонажи денег не считают. Для них интернет — не экономика и не связь, а поле борьбы с крамолой и скверной.

И если выбор встанет между сохранением сети и полным контролем над ней, эти люди не увидят беды в том, чтобы сеть отключить.

Вот в чём настоящая опасность отозванного сертификата. Дело не в одном мессенджере и даже не в банках. Дело в том, что решение теперь принимают те, для кого обрыв с миром — приемлемая цена. А когда так думает куратор, четвёртый и пятый сценарии перестают быть страшилкой.

И снова добавлю, что splinternet создаст проблемы только и исключительно для РФ и людей, которые там находятся. Солдаты НАТО не пострадают. Это будет буквально селфхарминг, как описывают в учебниках по психиатрии. Можно думать, что это будет очень плохо, но нельзя же вечно бояться.

Лучше ужасный конец, чем ужас без конца и режим, который так поступит долго не продержится — мы это буквально сейчас наблюдаем на примере Ирана. Сколько там еще продержится режим КСИР мы не знаем, но очевидно, что течение истории вот вообще не на их стороне.

Точка сегодня: https://www.youtube.com/watch?v=CYwSuGaJMSQ

Я свой полтинник в месяц в поддержку политзаключенных оформил. А ты?

https://june12.io/

Несколько раз прочитал эту хрень и так и не понял — а как он выборы-то будут проводить в условиях "проблем со связью"? А через интернет как голосовать?

И вообще: это она угрожает чтоли?

Непонятно...

Какой-то неправильный адвокат у Моргена — у них, вообще-то, цель снижать штрафы, а Ильдар Исламов, судя по тону, чуть не гордится увеличением.

И сайты, опять же, нельзя администрировать.

— нам нужен транспаренси репорт...
— у нас есть транспаренси репорт дома!

Это реально Transparency Report от Яндекса, где "вы найдёте информацию о том, как Яндекс работает с запросами государственных органов и сколько таких запросов получает".

И выясняется, что Яндекс получает порядка 300 запросов в сутки или примерно 12 в час, если учесть, что работают они круглосуточно и без выходных. И это было в первом квартале прошлого года.

И примерно 80% из них получают положительный ответ...

Правда, это все в разделе "райдтех" (самокаты и прокат авто), очевидно это штрафы за нарушение ПДД имеются ввиду.

Но все же получается, что каждый день в среднем в первом квартале прошлого года Яндекс получал в среднем 13,7 запросов в сутки и на 63% из них давал ответы. 1561 уголовочка, как вам такое?

Более подробно что там за запросы "транспаренси репорт" нам не рассказывает и даже намеков не дает.

Хотя рассказывает, что:

С января по июнь 2025 года года Яндекс удалил из поиска 70 419 611 ссылок по запросам правообладателей, а всего с момента подписания Меморандума — 415 951 174 ссылок.

Ну и очень мило утверждать в первом пункте "ответов", что выполняют законы об "ОРД", а в последнем, что данные почтового ящика отдают только по решению суда. Проблема в том, что эти два пункта друг другу противоречат и потому вопросы скромно разнесли на максимально возможное расстояние в надежде, что у читателей память как у рыбки и они забудут.

Вопрос к Яндексу: а стук на VPN вы будете публиковать в отчете? Типа, сколько IP-адресов выявили и сколько из них слили в РКН для блокировок. Нам очень хочется узнать, да.