Ошибка «сертификат не доверенный» при открытии сайта или подписи документа часто указывает на проблему именно с корневым сертификатом GlobalSign Root CA — либо он отсутствует в хранилище системы, либо цепочка доверия построена неправильно. GlobalSign — один из старых коммерческих удостоверяющих центров, чьи корневые сертификаты (например, GlobalSign Root CA — R1, R3, R6) предустановлены в Windows, macOS и большинстве браузеров, поэтому сбой обычно означает локальную проблему, а не недействительность самого корня.

В этой статье разберём, что представляет собой корневой центр GlobalSign, как проверить цепочку сертификатов на компьютере, в каких случаях требуется ручная установка корня и как безопасно диагностировать типовые ошибки доверия.

Что такое GlobalSign Root CA

Корневой центр сертификации (Root CA) — это вершина иерархии доверия в инфраструктуре открытых ключей (PKI). GlobalSign выпускает корневые сертификаты, которые подписывают промежуточные сертификаты, а те, в свою очередь, — конечные сертификаты сайтов, организаций и пользователей. Браузер или операционная система доверяет сайту только потому, что может выстроить неразрывную цепочку до корня, хранящегося в локальном доверенном хранилище.

У GlobalSign существует несколько поколений корней, различающихся алгоритмами и сроками действия. Встречаются корни на базе RSA (например, линейка Root R1/R3/R6) и ECC (Root E45/E46). Конкретный корень, участвующий в проверке, виден в свойствах сертификата сайта на вкладке пути сертификации.

  • 🔐 Корневой сертификат — самоподписанный, хранится в доверенном хранилище ОС или браузера.
  • 🔗 Промежуточный (intermediate) — подписан корневым, подписывает конечные сертификаты.
  • 📄 Конечный сертификат — выдан сайту, организации или пользователю.
  • 🧭 Цепочка доверия — путь от конечного сертификата до доверенного корня.

Где хранятся корневые сертификаты GlobalSign

В Windows корневые сертификаты находятся в хранилище «Доверенные корневые центры сертификации», которое открывается через консоль certmgr.msc (для текущего пользователя) или certlm.msc (для локального компьютера). В macOS аналогичную роль играет «Связка ключей», раздел «Система». Браузеры ведут себя по-разному: Chrome и Edge используют системное хранилище, а Firefox поддерживает собственное.

Это различие важно при диагностике: сайт может открываться в Chrome, но выдавать ошибку в Firefox, если в хранилище Firefox отсутствует нужный промежуточный сертификат или отключено автоматическое доверие корням ОС.

⚠️ Внимание: никогда не устанавливайте корневые сертификаты из непроверенных источников. Добавление чужого корня в доверенное хранилище означает, что его владелец сможет подписывать сертификаты для любых сайтов, и система будет им доверять — это классический вектор атаки «человек посередине».

Как проверить цепочку сертификата GlobalSign

Самый быстрый способ — открыть сайт в браузере, нажать на значок замка в адресной строке и перейти к просмотру сертификата. На вкладке «Путь сертификации» (Certification Path) должна отображаться цепочка: конечный сертификат → промежуточный GlobalSign → корневой GlobalSign Root CA. Если какой-то элемент отмечен предупреждением, проблема локализована именно на этом уровне.

Для проверки из командной строки удобен OpenSSL — он покажет всю цепочку, которую присылает сервер:

openssl s_client -connect example.com:443 -servername example.com -showcerts

В выводе смотрите блоки Certificate chain: сервер обязан отдавать не только свой сертификат, но и промежуточные. Отсутствие промежуточного звена — одна из самых частых причин ошибок на мобильных устройствах и в приложениях, которые не умеют докачивать промежуточные сертификаты самостоятельно.

📊 С чем вы столкнулись при работе с GlobalSign Root CA