Waarom Chrome de site van Alfa-Bank markeert als 'Niet beveiligd'

Ik opende alfabank.ru en zag een rode waarschuwing met een doorgestreepte HTTPS. Voor de site van een bank is dit een nogal vreemde eerste kennismaking met de gebruiker.

Wat de controle uitwees

Een controle op 15 november 2026 wees uit: de site levert een certificaat voor alfabank.ru, ondertekend door Russian Trusted Sub CA — een certificeringsinstantie van het Ministerie van Digitale Ontwikkeling. Het is geldig tot 27 februari 2027. Vanaf een Mac en vanaf een server in Duitsland kwam hetzelfde certificaat; de standaard vertrouwenscontrole op de Mac verwierp het.

Het probleem zit in de compatibiliteit van de vertrouwensketen: een browser zonder het bijbehorende vertrouwde rootcertificaat kan de authenticiteit van de site niet bevestigen. Dat bewijst op zichzelf geen hack of datalek. Maar de verbinding als betrouwbaar gecontroleerd beschouwen na het omzeilen van de waarschuwing kan ook niet.

De banklegt de situatie uit op haar paginaen stelt voor Russische certificaten te installeren of Yandex Browser te gebruiken. Het installeren van een rootcertificaat verandert de kring van certificeringsinstanties die het apparaat of de browser vertrouwt. Dit is een ingrijpende beslissing die begrip van de gevolgen vereist.

Wat dit betekent voor de gebruiker

Voor mij is dit hier in de eerste plaats een productvraag. De gebruiker komt een financiële taak oplossen, maar krijgt een taak om vertrouwen in te stellen. Het is duidelijk dat alles in Rusland nu ingewikkeld is.. Maar bij dezelfde GOС-en Ingosstrakh, VTB, Gazprombank bijvoorbeeld zijn zulke problemen er niet, wat betekent dat het probleem waarschijnlijk technisch is..