Chromeがアルファバンクのサイトを「保護されていない」と表示する理由

alfabank.ruを開くと、HTTPSに取り消し線が引かれた赤い警告が表示された。銀行のサイトとしては、ユーザーとのかなり奇妙な初対面だ。

検査で分かったこと

2026年11月15日の検査では、サイトがRussian Trusted Sub CA（デジタル開発省の認証局）によって署名されたalfabank.ru用の証明書を返すことが分かった。有効期限は2027年2月27日まで。Macとドイツのサーバーから同じ証明書が返され、Macの標準的な信頼検証はそれを拒否した。

問題は信頼チェーンの互換性にある。対応する信頼されたルート証明書を持たないブラウザは、サイトの真正性を確認できない。これはそれ自体ではハッキングや漏洩を証明するものではない。しかし警告を回避した後、接続が確実に検証されたと見なすこともできない。

銀行は自社ページで状況を説明しているそしてロシアの証明書をインストールするか、Yandex Browserを使用することを提案している。ルート証明書のインストールは、デバイスやブラウザが信頼する認証局の範囲を変更する。これはその影響を理解する必要がある重大な決定だ。

これがユーザーにとって何を意味するか

私にとってここではまず製品の問題だ。ユーザーは金融の課題を解決しに来るのに、信頼設定の課題を突きつけられる。今ロシアではすべてが複雑なのは分かるが、例えばインゴスストラフ、VTB、ガスプロムバンクといった同じ国営企業にはそのような問題がない。つまり問題はおそらく技術的なものだ。