ЦС ТЦИ вывел сервис ACME в промышленную эксплуатацию

Центр сертификации Технического центра Интернет (ЦС ТЦИ) завершил публичное тестирование и запустил в промышленную эксплуатацию сервис ACME. Он позволяет автоматизировать выпуск и продление TLS-сертификатов для доменов и интернет-сервисов, встроить эти операции в процессы CI/CD и панели управления, а также сократить ручную работу при обслуживании распределённой инфраструктуры.

ACME — открытый протокол, который стандартизирует взаимодействие между клиентом и центром сертификации: от создания заказа и подтверждения права управления доменом до получения и отзыва сертификата. Сервис будет полезен администраторам, DevOps-инженерам, хостинг-провайдерам и разработчикам, которые управляют большим количеством доменов и сервисов. Для подключения подойдут распространённые ACME-клиенты, в том числе acme.sh, lego и Certbot, если их настройки учитывают требования ЦС ТЦИ к запросам на сертификат.

В первой промышленной версии сервис выпускает сертификаты в ветке ECDSA A1 с ключами ECDSA P-256. Для подтверждения управления доменом доступны два метода: HTTP-01 — размещение проверочных данных на веб-сервере, и DNS-01 — публикация TXT-записи по имени _acme-challenge.<домен>. Сервис также поддерживает отзыв сертификатов через ACME.

При внедрении ACME специалисты ТЦИ связали стандартный протокол с действующими механизмами проверки доменов и выпуска сертификатов. Публичный API отделён от изолированного контура центра сертификации: запросы проходят через контролируемые внутренние интерфейсы, где ЦС проверяет право управления доменом, параметры открытого ключа и соответствие запроса политике выпуска. Промышленные сертификаты получают SCT-метки российских журналов прозрачности Certificate Transparency Яндекса и VK. Эти метки подтверждают, что журнал принял сертификат для включения в публично проверяемый реестр.

«ACME делает работу с сертификатами более современной и удобной: пользователи меньше времени тратят на ручные операции и больше — на развитие сервисов. Использование стандартного протокола и привычных клиентов упрощает интеграцию и снижает нагрузку на эксплуатацию, — отметил генеральный директор ТЦИ Алексей Рогдев. — Цель ЦС ТЦИ — создать в России международный центр сертификации, полноценного участника глобальной инфраструктуры доверия».

Сервис ACME доступен по адресу https://acme.tlscc.ru/directory. Для проверки интеграций работает отдельная тестовая среда — https://acme.stage.tlscc.ru/directory. Она позволяет отладить подтверждение домена, получение и автоматическую установку сертификатов до перехода в промышленную среду. Тестовые сертификаты используют отдельную цепочку доверия и не предназначены для публичных ресурсов.

При подключении необходимо учитывать ограничения первой версии: серверы имён домена должны быть настроены в соответствии с инструкцией: https://tlscc.ru/docs/Manual_NS.pdf, запрос на сертификат должен содержать доменное имя в поле Subject/CN.

ТЦИ начал строить центр сертификации в 2019 году — сразу по требованиям CA/Browser Forum и WebTrust, которым следуют международные центры сертификации. С 2022 года ЦС ТЦИ добровольно передаёт сведения о выпущенных сертификатах в журналы прозрачности сертификатов (CT логи). Это позволяет рынку самостоятельно проверять выпуск сертификатов и повышает доверие к инфраструктуре. В августе 2026 года ЦС ТЦИ стал первым участником Yandex Browser Root Certificate Program.