У мессенджера MAX отозвали TLS-сертификат — что это значит для пользователей
У госмессенджера MAX вечером 5 июня 2026 года отозвали TLS-сертификат — это цифровой документ, без которого браузер не считает соединение с сайтом безопасным. Уже сейчас Firefox при открытии max.ru показывает крупное красное предупреждение «Be careful. Something doesn’t look right», Chrome — аналогичную ошибку NET::ERR_CERT_REVOKED.
Само приложение MAX на iOS и Android тоже использует TLS для связи с серверами — там пользователи могут увидеть мгновенный обрыв соединения, бесконечную загрузку или ошибку «сетевая ошибка». Степень проблем зависит от того, как реализован certificate pinning в клиенте и кэширует ли система ответ OCSP.
В этом материале разбираем: что именно случилось с сертификатом, как это связано с недавним удалением MAX из Apple App Store, чего ждать в ближайшие дни и как пользователю отличить настоящий сбой инфраструктуры от региональной блокировки.
Коротко
- 5 июня 2026 у MAX (max.ru) отозвали TLS-сертификат — теперь браузер блокирует доступ.
- В Firefox и Chrome виден экран предупреждения; в Safari браузер не пускает дальше.
- Приложения MAX на iOS и Android могут падать, не загружать чаты или показывать сетевые ошибки.
- По нашим прикидкам, на выпуск и propagation нового сертификата уйдёт от двух до семи дней.
- Это не блокировка Роскомнадзором — это инфраструктурный сбой на стороне самого MAX.
- Контекст: за неделю до этого Apple удалила MAX из App Store; новые установки на iOS стали невозможны.
Что произошло с сертификатом MAX
TLS-сертификат подтверждает, что сайт max.ru — это действительно тот сайт, за который он себя выдаёт, а не подделка. Сертификат выпускает удостоверяющий центр (CA), и он же может его отозвать — например, если приватный ключ скомпрометирован, если изменилась информация о владельце домена, или по решению самого владельца.
Когда сертификат отзывается, информация об отзыве попадает в CRL (список отозванных сертификатов) и в OCSP (онлайн-проверку статуса). Современные браузеры подтягивают эти данные в фоне — поэтому переход к «not secure» происходит не мгновенно, а как только клиент обновит свою копию.
Почему именно сейчас
Точную причину отзыва на момент публикации ни сам MAX, ни АО «ВК» (оператор сервиса) официально не объявляли. Возможные сценарии: смена удостоверяющего центра, проблемы с auto-renew у выбранного CA, проблемы с DNS CAA-записью или административное решение.
Что происходит на стороне браузера
Firefox использует собственный механизм OneCRL и обновляет список отозванных сертификатов через service update. Chrome полагается на CRLSets от Google. Поэтому в разных браузерах ошибка может появиться с задержкой в несколько часов друг от друга — кому-то max.ru пока ещё открывается, а у кого-то уже даёт alert.
Как понять, что именно сломалось
| Симптом | Возможная причина | Что проверить |
|---|---|---|
| Firefox: «Be careful. Something doesn’t look right» | Отзыв TLS-сертификата, MAX подтверждён через OneCRL | Открыть тот же сайт в другом браузере, проверить дату |
Chrome: «NET::ERR_CERT_REVOKED» |
Тот же отзыв, подтверждён через CRLSets | Кликнуть «Advanced» — увидеть имя CA и дату отзыва |
| Мобильное приложение: бесконечная загрузка | Certificate pinning не пропускает новый сертификат | Перезапустить приложение, отключить и включить интернет |
| Приложение: «нет соединения с сервером» | TLS handshake падает на этапе валидации | Сравнить с поведением на другом операторе/Wi-Fi |
| Только у вашего оператора — у других работает | Не сертификат, а региональная блокировка/ТСПУ | Проверить через Freedom Checker по операторам |
Как проверить прямо сейчас
Симптомы у отозванного сертификата и у блокировки на уровне оператора выглядят похоже: и там и там запрос к серверу падает. Отличить можно, посмотрев — у всех ли операторов одинаково и в чём именно ошибка.
Freedom Checker делает регулярную проверку доступности сервисов через российских операторов связи (МТС, МегаФон, Билайн, Tele2, Ростелеком) с разных регионов. Если max.ru показывает идентичную ошибку TLS у всех — это инфраструктурный отзыв сертификата, а не операторская блокировка.
Сбой или блокировка?
Сейчас — сбой инфраструктуры на стороне MAX, а не блокировка. Различить просто:
- Сбой даёт одинаковую ошибку у всех операторов и регионов, обычно с конкретным текстом про сертификат.
- Блокировка обычно даёт разные симптомы: timeout у одного оператора, моментальное закрытие у другого, region-specific behaviour, отсутствие TCP-ответа от IP.
Региональных блокировок MAX на данный момент не зафиксировано — Роскомнадзор поддерживает запуск этого мессенджера как часть проекта «государственного мессенджера», блокировать его на уровне ТСПУ не имеет смысла.
Контекст: удаление из Apple App Store
За несколько дней до отзыва сертификата Apple убрала MAX из российского сегмента App Store. Решение было оформлено как «нарушение политик платформы» — без детальных публичных пояснений. Скачать MAX на свежий iPhone в России сейчас невозможно стандартным способом.
Это два разных события, но они связаны политически: и удаление, и отзыв сертификата происходят на фоне ужесточения регулирования и обязательной предустановки MAX на смартфоны российской сборки. Совпадение по времени даёт почву для версий о скоординированных действиях западных платформ.
Что нужно понимать пользователю:
- Если MAX уже установлен — он останется на телефоне. Удалят его только по вашему решению.
- Обновления через App Store не будут приходить, пока MAX не вернётся в каталог.
- На Android MAX по-прежнему доступен через RuStore и Google Play (на данный момент).
Что делать в ближайшие дни
- Не игнорировать предупреждение «Not Secure» — это не браузерный глюк, а реальная ситуация с инфраструктурой.
- Не вводить пароли и платёжные данные на max.ru до выпуска нового сертификата.
- Если MAX перестал работать в приложении — подождать. Сервис либо получит новый сертификат, либо выкатит апдейт клиента с обновлённым набором CA.
- Не переустанавливать приложение на iOS — оно недоступно для повторной установки из App Store.
- Иметь под рукой альтернативный канал связи на это время.
- Проверять доступность по операторам, если кажется что проблема локальная.
Вывод
У MAX вечером 5 июня отозвали TLS-сертификат — это не блокировка и не «отключение» сервиса, это инфраструктурный сбой. На устранение обычно уходит от нескольких часов до нескольких суток, иногда — до недели, если требуется новое подтверждение домена у CA.
В сочетании с недавним удалением из Apple App Store ситуация показывает, насколько сильно MAX зависит от инфраструктурных решений западных компаний (CA, App Store), хотя сервис позиционируется как «государственный мессенджер». Пока сертификат не обновлён — пользоваться max.ru через браузер не стоит.