В сентябре 2026 года Cloudflare, через инфраструктуру которой проходит свыше 20% всех запросов в интернете, объявила, что начнет выпускать сертификаты безопасности для сайтов, в том числе рассчитанные на защиту от атак с использованием квантовых компьютеров. Более десяти лет Cloudflare использовала такие удостоверения от других центров, но сама не выпускала их.
Сертификаты не дают подделке выдать себя за настоящий адрес сайта, например криптобиржи, и от них зависит, предупредит ли Chrome или Safari пользователя об опасности.
В новом материале ForkLog мы разберем, кто решает, каким сайтам доверяет браузер, как частные компании стали регуляторами интернета и почему эту роль до сих пор не смогли отнять ни государства, ни ИИ-разработчики.
Большая четверка
24 апреля 2018 года злоумышленники почти на два часа перехватили маршруты к DNS-службе Amazon Web Services (AWS) и направили посетителей на копию кошелька MyEtherWallet. Как сообщила Cloudflare, атака затронула и ее публичный DNS-резолвер 1.1.1.1: трафик к нему в 11 городах перенаправлялся по ложным маршрутам.
У поддельного сайта не было сертификата, поэтому браузеры предупреждали пользователей об угрозе: по данным The Register, проигнорировавшие сигнал лишились около $150 000 в Ethereum.
22–27 сентября 2026 года неизвестные поочередно завладели реестрами национальных доменных зон Ганы, Сьерра-Леоне и Американского Самоа. Они изменили авторитетные DNS-записи, а затем получили несанкционированные HTTPS-сертификаты для чужих доменов. The Hacker News насчитала как минимум 12 таких документов для региональных версий Google и YouTube. Из них 11 выпустил некоммерческий Let’s Encrypt.
По оценке Google, оснований считать, что удостоверяющие центры нарушили правила, нет. Сертификат можно сравнить с паспортом сайта: он связывает доменное имя с открытым криптографическим ключом. Браузер проверяет эту связь и удостоверяется, что сертификат выдан центром, которому он доверяет. Однако это не гарантирует, что владелец сайта добросовестен.
При проверке контроля над доменом Let’s Encrypt удостоверяется, что заявитель действительно управляет им, но не устанавливает его личность. Поэтому злоумышленники, получив контроль над DNS-записями, смогли пройти проверку и запросить сертификаты для чужих доменов. Замок в адресной строке означает, что соединение защищено и сертификат прошел проверку браузера, но не гарантирует, что сайту можно доверять.
6 октября Google сообщила, что заблокировала их в своем браузере. По открытым журналам сертификатов компания нашла еще ряд пострадавших организаций, в том числе крупные международные бренды. Chrome заблокировал и обнаруженные сертификаты для их доменов. Google не смогла предотвратить компрометацию доменных зон, но как разработчик браузера приняла меры, чтобы защитить пользователей от последствий атаки.
Сертификаты удостоверяющих центров образуют цепочку доверия: каждый сертификат подписан вышестоящим центром, пока цепочка не доходит до корневого сертификата. Браузер принимает ее, если доверяет этому корню. Правила включения корневых сертификатов в программы доверия определяют четыре крупных игрока: Google, Apple, Microsoft и Mozilla.
По данным StatCounter, в сентябре 2026 года на Chrome пришлось 66,4% мирового рынка.
Именно в эти программы доверия и стремится попасть Cloudflare. В отличие от AWS и Google Cloud, компания не специализируется на аренде мощностей для тяжелых вычислений. Ее ниша — CDN, защита от DDoS-атак, DNS и обратные прокси. Она выступает прослойкой между пользователем и ресурсом: кэширует страницы, ускоряет их загрузку и отсекает вредоносный трафик.
Первые постквантовые сертификаты Cloudflare планирует выпустить в I квартале 2027 года. Компания обещает сделать их бесплатными. По словам руководства одобренный корень годами распространяется по устройствам, а до тех, которые не получают обновления, и вовсе не доходит никогда. Поэтому Cloudflare приобретает ключ GlobalSign, признанный браузерами и операционными системами с 2012 года.
Как браузеры стали судьями
Сейчас право подтверждать подлинность сайтов сводится к строке в списках, которые ведут частные компании. Готовые варианты корпорации также продают. Чтобы понять, как к этим взаимоотношениям пришли, нужно проследить 30-летнюю историю интернет-паспортов.
В 1995 году RSA, фирма авторов одноименного алгоритма шифрования, выделила службу сертификации в самостоятельное предприятие VeriSign. Спрос обеспечила компания Netscape, созданная годом раньше Джимом Кларком и Марком Андриссеном. В декабре 1994 года появился ее Navigator — программа для просмотра веб-страниц, доля которой, по материалам процесса против Microsoft, в январе 1996-го превышала 80%. Netscape разработала для него протокол SSL, которому требовался независимый гарант.
VeriSign стала одним из крупнейших игроков рынка. В 2010 году VeriSign продала за $1,28 млрд компании Symantec подразделение аутентификации, включая бизнес по выпуску сертификатов.
10 июля 2011 года взломщик, проникший в системы нидерландского удостоверяющего центра DigiNotar, выпустил сертификат, позволявший выдавать себя за google.com и его поддомены. По итогам расследования, перехват затронул около 298 000 уникальных IP-адресов, 95% из них — в Иране. По словам представителей Google, пользователей Chrome подделка не обманула: браузер ее распознал. DigiNotar вычеркнули из всех основных списков доверия, и 20 сентября того же года компания обанкротилась.
В ответ Google предложила экосистему с публичным архивом — «прозрачность сертификатов» (Certificate Transparency, CT). В 2013 году схему закрепили в открытой спецификации, а с 30 апреля 2018 года Chrome требует такой регистрации для всех новых документов.
14 сентября 2015 года Google обнаружила в публичных журналах сертификат для google.com, который сотрудники Symantec выпустили без разрешения владельца домена. В марте 2017 года претензий стало больше: Google насчитала как минимум 30 000 сертификатов выданных с нарушениями, Symantec согласилась лишь со 127 случаями. Google и Mozilla объявили о поэтапном отказе от доверия к сертификатам Symantec, и уже в августе компания договорилась уступить DigiCert подразделение веб-безопасности за $950 млн и 30% акций покупателя. В октябре 2018 года Chrome перестал доверять всем ее старым сертификатам — по данным DigiCert, к этому моменту она бесплатно заменила более 5 млн таких разрешений.
Правила для этого рынка также пишут разработчики браузеров. В сентябре 2019 года члены удостоверяющего центра (Certificate Authority,CA) на Browser Forum предложение ограничить действие сертификатов примерно годом провалилось: против проголосовали 20 из 33. В 2020 году Apple ввела потолок в 398 дней на своих устройствах в одностороннем порядке. 11 апреля 2025 года форум без возражений утвердил этот план: с 15 марта 2026 года максимальный срок — 200 дней, в 2027 году он сократится до 100 дней, а в 2029 году — до 47 дней.
Владельцам ресурсов нужно будет обновлять сертификат раз в полтора месяца, и без автоматического продления, как предупреждает SSL.com, работать будет практически невозможно. При этом в политике Chrome закреплено, что Google меняет перечень «по своему единоличному усмотрению».
Четверть интернета и все остальные
Согласно W3Techs, на 19 октября 2026 года Cloudflare обслуживает более 27% всех сайтов в мире. Среди веб-ресурсов, которые пользуются обратными прокси, на нее приходится около 86%.
Свое влияние Cloudflare проявила ограничениями доступа к интернету. 16 августа 2017 года глава компании Мэттью Принс отказался обслуживать неонацистский портал Daily Stormer. Отключив сайт, он написал сотрудникам:
«Я буквально проснулся не в духе и решил, что кому-то не место в сети. Ни у кого не должно быть такой власти».
С облачными гигантами компания конкурирует лишь отчасти: серверы можно держать в AWS, а трафик пропускать через Cloudflare. Внутри ниши соперники уступают ей более чем на порядок: у следующей в рейтинге — Amazon CloudFront — всего 1,7% сайтов. В деньгах картина иная: по итогам 2025 года выручка Cloudflare составила $2,17 млрд. У конкурентов: Fastly — $624 млн, Akamai — $4,21 млрд.
Один из рычагов в этой борьбе — цена. Cloudflare работает по модели фримиум:
- Free — бесплатно;
- Pro — от $20 в месяц;
- Business — от $200 в месяц;
- крупный бизнес — индивидуальные условия.
Шифрование относилось к платным функциям, но 29 сентября 2014 года Cloudflare распространила его на всех клиентов. По словам ее представителей, накануне в интернете было около 2 млн сайтов с защищенными соединениями, и к вечеру их число почти удвоилось.
Траты на CloudFront от AWS раньше росли вместе с трафиком, но 18 ноября 2025 года Amazon ввела фиксированные тарифы с теми же названиями — Free, Pro и Business — за $0, $15 и $200 в месяц, а также Premium за $1000.
Другое направление — выпуск собственных сертификатов. 10 июня 2015 года Amazon стала оператором корня, приобретенного у регистратора доменов GoDaddy. 26 января 2017 года Google объявила о своей службе сертификации, купив для нее два ключа у GlobalSign. Этим путем сейчас идет и Cloudflare. 16 августа 2023 года Fastly открыла издателя Certainly под поручительством GoDaddy.
Выход на этот рынок Cloudflare объясняет зависимостью веба от Let’s Encrypt: по ее подсчетам, тот оформляет порядка 10 млн документов в день, и равноценной замены у него нет.
Обратная сторона концентрации — общие риски. 20 октября 2025 года вышел из строя регион AWS в Северной Вирджинии, 29 октября — сеть доставки контента Microsoft Azure. 18 ноября, когда у AWS заработали новые тарифы, сбой случился у самой Cloudflare. Криптобиржа Coinbase и онлайн-брокер Robinhood за тот месяц пострадали дважды.
ИИ просится внутрь
12 августа 2025 года Perplexity предложила Google $34,5 млрд за Chrome — почти вдвое выше оценки стартапа в $18 млрд. Сделка не состоялась: 2 сентября суд по антимонопольному иску отказался обязать Google продавать браузер.
Собственные проводники по интернету ИИ-компании строят на Chromium — свободном движке, который развивает Google. На нем основаны Comet от Perplexity и Atlas от OpenAI, запущенный 21 октября 2025 года. Как отмечает китайское издание GeekPark, за год все ИИ-браузеры вместе не набрали и 1% рынка. 9 августа 2026 года Atlas прекратил работу.
У входа на сайты стоит Cloudflare. С 1 июля 2025 года новые ресурсы ее клиентов по умолчанию закрыты для ИИ-роботов, которые скачивают тексты для нейросетей. 4 августа организация исключила Perplexity из списка одобренных ботов за маскировку: по ее оценке, та тайно отправляла до 6 млн запросов в сутки. С 15 сентября 2026 года ограничения действуют и для «смешанных» краулеров у новых клиентов, которые одной программой обслуживают поиск, обучение моделей и ИИ-агентов: им недоступны страницы с рекламой.
В качестве альтернативы Cloudflare предлагает платный пропуск. 4 августа 2026 года она начала резервировать имена для кошельков, из которых ИИ-помощники смогут рассчитываться стейблкоинами за API, информацию и контент.
Свои условия диктуют и площадки. В ноябре 2025 года Amazon подала в суд на Perplexity. Претензия касалась браузера Comet со встроенным ИИ-помощником: пользователь входил в свой аккаунт, после чего агент мог действовать без дополнительных кликов. Amazon утверждала, что Comet не использовал отдельный идентификатор браузера и представлял запросы с тем же user-agent, что и Chrome.
4 августа 2026 года Апелляционный суд Девятого округа США постановил: к серверам обращается сам пользователь, а Comet выступает лишь инструментом в его руках.
Государство у закрытой двери
8 января 2026 года итальянский регулятор связи AGCOM оштрафовал Cloudflare на €14,2 млн, или 1% ее глобального оборота. Компания не согласилась отключать пиратские ресурсы в публичной службе 1.1.1.1, которая сообщает браузеру IP-адрес сайта. Через платформу Piracy Shield правообладатели присылают жалобы, заблокировать нарушителей нужно за 30 минут.
Cloudflare оспорила взыскание. Принс пригрозил вывести серверы из Италии: по его словам, выполнение требования обернулось бы цензурой «не только в Италии, но и по всему миру». 17 июля 2026 года административный суд Лацио отклонил иски компании, а 5 октября она обжаловала решение в Государственном совете.
Казахстан пробовал действовать напрямую. 17 июля 2019 года жители республики получили СМС о необходимости установить государственный корневой сертификат, позволявший перехватывать их зашифрованный трафик. 21 августа Google, Mozilla и Apple запретили его в своих браузерах даже для тех, кто добавил его вручную, а в декабре 2020 года повторную попытку вместе с ними пресекла и Microsoft.
Европейский союз пошел законодательным путем. Проект поправок к регламенту об электронной идентификации eIDAS требовал от браузеров принимать сертификаты из перечней, которые ведут члены ЕС. В ноябре 2023 года свыше 500 ученых из 39 стран заявили, что норма облегчит властям слежку за пользователями. В итоговой версии 2024 года ее смягчили: по оценке исследователей Люксембургского университета, новых корней браузерам не навязали, а прежние механизмы защиты им сохранили.
РФ — особый случай. 13 июня 2026 года GlobalSign, у которой сейчас покупает корень Cloudflare, приступила к отзыву сертификатов российских компаний под санкциями. С начала августа сайты Сбербанка, ВТБ и других крупных банков начали менять паспорта от китайской TrustAsia на документы НУЦ. Популярные в мире браузеры не добавили НУЦ в свои списки, без предупреждений такие ресурсы загружает только «Яндекс Браузер» и «Атом» от VK.
По данным «Коммерсанта», на 1 сентября действовало более 14 000 сертификатов НУЦ — Let’s Encrypt оформляет столько чуть больше чем за две минуты.
Государство может оштрафовать посредника или создать собственного издателя, но заставить чужой браузер его признать пока не получилось ни у кого.
Дерево Меркла с хозяином
30 марта 2026 года Google Quantum AI вместе с учеными из Ethereum Foundation и Стэнфорда обнародовала исследование, согласно которому для взлома криптографии, защищающей ключи биткоина и Ethereum, нужно на порядок меньше вычислительных затрат, чем предполагалось раньше. Алгоритм авторы не опубликовали, предъявив доказательство с нулевым разглашением (ZKP). В тот же день стартап Oratomic и команда Caltech оценили, что вскрыть стандарт, на котором основана немалая доля HTTPS, под силу квантовому компьютеру всего на 10 000 кубитов.
7 апреля Cloudflare, сославшись на обе статьи, ускорила сроки подготовки защиты от этой угрозы на 2029 год. 29 сентября руководство объявило о намерении стать CA. Компания планирует выпускать как классические TLS-сертификаты, так и постквантовые Merkle Tree Certificates (MTC).
22 июня президент США Дональд Трамп обязал федеральные агентства перевести важнейшие системы на квантово-устойчивую аутентификацию к концу 2031 года.
Для веба главная проблема — размер. Одна из самых компактных постквантовых подписей ML-DSA-44 весит около 2400 байт — почти в 40 раз больше ECDSA. Браузер получает пять подписей уже на этапе так называемого рукопожатия, когда устанавливает связь с сайтом. После перехода этот обмен превысил бы 10 000 байт, и в реальных ситуациях заметная часть сессий начала бы обрываться.
Решение нашли в дереве Меркла — той же структуре, что объединяет транзакции в блоке биткоина. Издатель складывает в него сертификаты и заверяет лишь вершину, а сервер присылает браузеру короткое доказательство, что нужный лист там есть. По оценке Cloudflare, на это требуется меньше 1000 байт.
Открытость заложена в конструкцию: по словам Google, выпустить паспорт, минуя публичное дерево, невозможно. Со стороны пользователя достаточно вовремя обновлять браузер.
27 февраля 2026 года команда Chrome сообщила, что не планирует включать в нынешний список постквантовые сертификаты старого образца и создаст отдельный — только для записей с применением дерева Меркла. В I квартале 2027 года к участию сначала пригласят тех, у кого до 1 февраля 2026 года в Chrome уже действовал журнал прозрачности.
Cloudflare занимается этим с 2016 года, а ее инженеры — соавторы черновика стандарта. Право на квантово-устойчивые документы она рассчитывает получить не по лицензии: критерии сформулировала Google, а Cloudflare выполнила их заранее.
24 июля 2026 года, по информации PostQuantum, шанхайская TrustAsia первой публично подала заявку на тестовый выпуск постквантовых сертификатов для Chrome. Она ведет журналы для этого браузера с 2021 года.
21 сентября 2026 года поддержку MTC объявила и Apple. Компания готовит требования жестче, чем у Chrome: три подписи-заверения вместо двух и срок действия паспорта не более семи дней.
Биткоин же защищают медленнее. В феврале 2026 года в предложении по улучшению сети BIP-360 разработчики добавили выходы транзакций P2MR: такие адреса закрывают уязвимую трату по ключу, а постквантовые подписи предлагается добавить следующими обновлениями. Для активации BIP-360 нужен консенсус сети, тогда как в интернете хватает согласия нескольких компаний.
Каким сайтам верить, в интернете определяют четыре списка: их ведут Google, Apple, Microsoft и Mozilla. Мандата у корпораций нет, но строка в таком списке весит больше любой государственной лицензии. Италия штрафует посредников, Казахстан и Россия выпустили собственные сертификаты, ЕС принял закон, но последнее слово осталось за браузерами.
Cloudflare добивается права выдавать паспорта тем же путем, что Google и Amazon до нее: выполняет чужие требования и покупает готовый корень. С постквантовыми документами порядок прежний — правила для них уже пишет Chrome. Пользователю из всей этой конструкции видна лишь одна деталь — предупреждение об опасном соединении.