Как получить OV-сертификат Минцифры для HTTPS в 2026 году
В 2026 году владельцы сайтов всё чаще задумываются о независимости от зарубежных центров сертификации. Политика блокировок, изменение правил работы международных удостоверяющих центров и риск отзыва сертификатов заставляют искать альтернативы привычному Let's Encrypt. Особенно актуален этот вопрос для компаний, где на одном решении работают сотни или тысячи доменов.
Российский SSL-сертификат для HTTPS позволяет сохранить защищённое соединение без привязки к зарубежной инфраструктуре. На Госуслугах доступны сертификаты DV и OV, причём оформить их можно бесплатно при наличии подтверждённой учётной записи. Ниже разберём процедуру выпуска OV-сертификата с алгоритмом RSA.
Чем OV отличается от DV
Сертификат DV подтверждает только контроль над доменом. Он рассчитан на один домен, действует 90 дней и доступен гражданам России, иностранцам, организациям и индивидуальным предпринимателям.
OV-сертификат дополнительно подтверждает сведения о владельце. Он может включать несколько доменов и поддоменов, а срок его действия составляет 365 дней. Оформить такой сертификат могут граждане РФ, юридические лица и ИП. Для выпуска потребуется усиленная квалифицированная электронная подпись.
Если нужно разобраться, [как получить OV-сертификат Минцифры](https://habr.com/ru/articles/1078966/?utm_campaign=1078966&utm_source=habrahabr&utm_medium=rss) на практике, важно заранее подготовить доменные документы, CSR-файл и доступ к DNS-настройкам.
Подача заявления на Госуслугах
В поиске Госуслуг достаточно ввести запрос "SSL-сертификат", после чего выбрать услугу для владельца сайта. Портал предложит варианты DV и OV, а также два криптографических алгоритма: RSA и ГОСТ. Для большинства веб-серверов проще выбрать RSA - он поддерживается практически всеми распространёнными браузерами и панелями управления.
На Госуслугах подаётся заявление на выпуск OV-сертификата. После проверки готовые файлы в форматах `.cer` и `.crt` появятся в личном кабинете примерно в течение трёх рабочих дней. Услуга предоставляется бесплатно. Если требуется только доменная проверка, DV обычно выпускается в течение одного рабочего дня.
Создание CSR-запроса
Перед подачей заявления необходимо сформировать закрытый ключ и запрос на сертификат - CSR. Для этого создают конфигурационный файл OpenSSL, например `example.ru.conf`. В нём указывают сведения о заявителе и список доменных имён в секции `subjectAltName`.
Пример конфигурации:
```ini
[req]
default_bits = 2048
prompt = no
default_md = sha256
distinguished_name = req_distinguished_name
req_extensions = req_ext
[req_distinguished_name]
C = RU
ST = Moscow
L = Moscow
O = Example
SNILS = 00000000000
INN = 000000000000
[req_ext]
subjectAltName = @alt_names
[alt_names]
DNS.1 = example.ru
DNS.2 = www.example.ru
```
Для физического лица вместо зарубежных атрибутов организации используются российские идентификаторы - СНИЛС и ИНН. В список альтернативных имён можно добавить основной домен и поддомены, например `www`, `api` или `mail`.
Запрос создаётся командой OpenSSL:
```bash
openssl req -new -newkey rsa:2048 -nodes
-keyout privkey.pem
-out example.ru.csr
-config example.ru.conf
```
В результате появятся закрытый ключ `privkey.pem` и файл запроса `example.ru.csr`. Закрытый ключ нельзя передавать третьим лицам или размещать в открытом доступе. Проверить содержимое CSR можно так:
```bash
openssl req -in example.ru.csr -noout -text
```
Подтверждение прав на домен
Для OV-проверки потребуются документы, подтверждающие регистрацию домена. Их можно получить у регистратора доменных имён. В рассматриваемом сценарии использовалось свидетельство о регистрации домена, стоимость которого составляла около 203 рублей.
Кроме документа, понадобится УКЭП. Если квалифицированной подписи нет, её оформляют в удостоверяющем центре вместе с защищённым носителем. Стоимость токена и выпуска сертификата зависит от выбранного центра; ориентировочно это может быть около 3000 рублей.
Файл конфигурации и свидетельство о регистрации домена необходимо подписать УКЭП. Для этого подойдут КриптоПро, КриптоАРМ или другое совместимое приложение. После подписания формируются файлы с расширением `.sig`, которые прикладываются к заявлению на Госуслугах.
Даже при наличии подписанных документов портал может дополнительно запросить подтверждение через DNS. В настройках доменной зоны потребуется создать TXT-запись с указанным значением. Обычно для каждого домена предусмотрена отдельная запись, хотя в отдельных случаях система принимает одну запись для нескольких имён. После обновления DNS-зоны нужно дождаться проверки - это может занять от нескольких минут до нескольких часов.
Получение и установка сертификата
После успешной проверки в личном кабинете Госуслуг станут доступны файлы сертификата. Их можно сохранить в форматах `.cer` или `.crt`, а затем установить на веб-сервер вместе с закрытым ключом.
Для Nginx обычно указывают путь к сертификату и ключу в конфигурации виртуального хоста:
```nginx
server {
listen 443 ssl;
server_name example.ru www.example.ru;
ssl_certificate /etc/ssl/example.ru.crt;
ssl_certificate_key /etc/ssl/example.ru.key;
}
```
После изменения конфигурации необходимо проверить её синтаксис и перезапустить службу:
```bash
nginx -t
systemctl reload nginx
```
На Apache сертификаты прописываются в директивах `SSLCertificateFile` и `SSLCertificateKeyFile`. Важно также настроить перенаправление с HTTP на HTTPS и убедиться, что все ресурсы сайта - изображения, скрипты, шрифты и API-запросы - загружаются по защищённому протоколу.
Что проверить после выпуска
После установки сертификата стоит проверить срок действия, список доменов и корректность цепочки сертификации. Для диагностики можно использовать OpenSSL:
```bash
openssl s_client -connect example.ru:443 -servername example.ru
```
Также полезно протестировать сайт из нескольких браузеров и сетей. Если браузер показывает предупреждение, причиной может быть неполная цепочка сертификатов, неверное имя домена или отсутствие поддержки российского центра сертификации в конкретной операционной системе.
Запрос "OV-сертификат Минцифры купить" часто связан с коммерческими предложениями посредников. Однако сам выпуск через Госуслуги бесплатен, а расходы возникают в основном при получении свидетельства о регистрации домена, УКЭП и токена. Поэтому перед покупкой услуги стоит уточнить, что именно входит в её стоимость.
Тем, кому нужен сертификат Минцифры для HTTPS купить в готовом виде, посредник может быть удобен: он помогает подготовить CSR, оформить подпись и установить сертификат. Но технически процедуру можно пройти самостоятельно, если есть доступ к DNS, понимание OpenSSL и действующая УКЭП.
Отдельно следует учитывать совместимость. SSL-сертификат Минцифры для сайта не всегда автоматически распознаётся старыми версиями операционных систем и браузеров. Для публичных сервисов желательно заранее проверить поддержку целевой аудиторией и при необходимости настроить альтернативную цепочку или использовать промежуточный сертификат.
Таким образом, оформление OV через Госуслуги состоит из нескольких этапов: создание CSR, подготовка доменных документов, подписание файлов УКЭП, размещение TXT-записи и установка результата на сервер. Процесс требует больше действий, чем выпуск DV, зато сертификат действует год, поддерживает несколько доменов и снижает зависимость от зарубежных удостоверяющих центров.
