Недавно я снова поймал себя на мысли, что интернет больше не выглядит как единая среда. Передел или раздел мира, все дела. Раньше сайт мог открываться из любой точки мира, браузеры доверяли одним и тем же центрам сертификации, а SSL-сертификат был обычной технической деталью, о которой вспоминали раз в год. Поставил, продлил, забыл.
Сейчас же всё иначе.
История с отзывом сертификатов GlobalSign у российских компаний это не просто новость для айтишникой. Это важный сигнал, что привычная инфраструктура интернета начинает трещать на уровне доверия.
Для обычного пользователя всё будет выглядеть банально: заходит человек на сайт, а браузер пишет, что соединение небезопасно. Кто-то испугается, кто-то решит, что сайт взломали, кто-то просто закроет вкладку. Пользователь не будет разбираться, какой там центр сертификации, какие санкционные списки, какие правила CA/Browser Forum и почему вчера всё работало, а сегодня нет.
Но для бизнеса это уже не мелочь.
Если сертификат отозвали, может лечь сайт, личный кабинет, интернет-магазин, API, мобильное приложение, интеграция с оплатой, CRM или внутренний сервис. Особенно больно будет там, где всё завязано на старые мобильные приложения, WebView, внешние библиотеки и жёсткую проверку сертификатов. И в этот момент проблема перестаёт быть только айтишной. Она становится коммерческой. Потому что клиент не видит инфраструктурных причин. Он видит только одно: сервис не работает.
Да, можно сказать, что есть российские сертификаты. Формально альтернатива есть. Но тут начинается другой вопрос: кто этим сертификатам доверяет? Какие браузеры? Какие устройства? Какие операционные системы? Что будет у пользователя на iPhone, Android, старом компьютере, корпоративной машине, в приложении, внутри встроенного браузера банка или мессенджера? Вы сами доверяете этим сертификатам? Ключи шифрования у спец. служб точно есть.
Вот в этом и есть главный риск. Интернет постепенно превращается не в одну глобальную сеть, а в набор отдельных зон доверия. Где один и тот же сайт в одном окружении открывается нормально, а в другом выглядит как опасный. И попробуй потом объясни клиенту, что с сайтом всё хорошо, просто его браузер не доверяет нужному корневому сертификату.
Моё мнение простое: бизнесу пора перестать относиться к сертификатам, DNS, CDN, почте, доменам и внешним сервисам и вообще ко всему как к вечным вещам. Время один раз настроили и забыли закончилось. Нужно заранее проверять, где выпущены сертификаты, какие поддомены завязаны на них, что будет с мобильными приложениями, как поведут себя API, есть ли резервный сценарий, кто получает уведомления об отзыве или истечении сертификата, как быстро можно всё перевыпустить и не сломать половину проекта. Не хотите этим заниматься? Есть альтернатива, социальный лифт в соц. сетях - но конкуренция высота, рекламы никакой, блогеры с одной тысячью подписчиков требуют гонорар словно это именно они обучали Гэри Хэлберта.
Проблема в том, что доверие в интернете перестало быть чисто технической вещью. Оно стало зависеть от политики, регуляторов, санкций, решения владельцев браузеров, операционных систем и компаний, на которые обычный бизнес вообще не влияет.
И если раньше сайт ломался из-за плохого хостинга, настроек сервера или кривого кода, то теперь он может сломаться просто потому, что где-то изменилась цепочка доверия.
А клиенту всё равно.
У него просто не открывается сайт.
И виноватым для него будете вы.