Отзыв 404 607 сертификатов TLS в GoDaddy вступил в силу 21 октября 2026 года. Причиной стало расхождение между профилями сертификатов, описанными в документах удостоверяющего центра, и тем, как эти сертификаты выпускались на практике. Затронуты иерархии GoDaddy и Starfield, включая сертификаты с доменной, организационной и расширенной проверкой. Владельцам затронутых сайтов нужно скачать замену и установить её на сервер, иначе браузеры начнут блокировать соединения с посетителями.
Политика сертификации (Certificate Policy, CP) задаёт требования к уровню доверия и порядку обращения с сертификатом. Регламент практики сертификации (Certification Practice Statement) описывает, как удостоверяющий центр эти требования выполняет. Публично доверенные центры обязаны выпускать сертификаты в точном соответствии с обоими документами и с правилами браузерных корневых программ. Расхождение в расширениях, назначении ключа, сроке действия или составе субъекта делает сертификат выпущенным с нарушением даже без компрометации закрытого ключа. Для владельца сайта разницы почти нет: соединение перестаёт устанавливаться в обоих случаях, хотя причины принципиально разные.
О расхождениях сообщил сторонний исследователь, о чём говорит обсуждение в программе контроля соответствия удостоверяющих центров Mozilla. Сначала речь шла о профилях Starfield с организационной и расширенной проверкой; GoDaddy приостановила выпуск, обновила документы и затем возобновила выдачу. При дальнейшей проверке похожие расхождения нашлись в профилях доменной проверки Starfield G2, где активного выпуска уже не было. Больше всего пострадали доменные сертификаты Starfield: 208 896 в иерархии R1 и 187 159 в G2. На сертификаты GoDaddy с организационной проверкой приходится 4 041, с расширенной - 1 141.
Практический эффект зависит от того, где физически установлен сертификат. Сайт с отозванным сертификатом вызывает у посетителя ошибку проверки, и часть аудитории просто уходит. Для порталов клиентов, интернет-магазинов, программных интерфейсов, почтовых сервисов и шлюзов удалённого доступа это означает остановку обслуживания. Проверить состояние можно в портале GoDaddy: часть позиций помечена как требующие установки новой версии, часть - как не требующие вмешательства. Отдельная сложность в том, что сертификат часто стоит не на основном сервере, а на балансировщике нагрузки, в сети доставки контента или у стороннего провайдера хостинга.
Для организаций это задача управления жизненным циклом сертификатов, а не разовая замена файла. Инвентаризация публичных точек входа, проверка цепочек промежуточных сертификатов и контроль автоматического продления становятся регулярной процедурой. Браузерные корневые программы год за годом ужесточают требования к соответствию между документацией центра и фактическим выпуском. Регуляторное давление здесь растёт: отзыв проходит по формальному признаку, без всяких свидетельств атаки, но последствия для доступности такие же, как при компрометации. Для госсектора и финансового сектора цена простоя выше, потому что внешних сервисов у них много и простой заметен сразу.
Массовый отзыв показывает, насколько доступность сервисов зависит от соответствия формальным профилям выпуска. Организациям с большим числом внешних сервисов придётся воспринимать сертификат как актив с собственным сроком годности и точкой установки. Проверка развёртывания с внешней сети показывает, дошла ли замена до конечных точек, - сам факт перевыпуска этого не гарантирует.
