Корневые сертификаты НУЦ: как установить

Пост обновлен 09.03.2026
Автор статьи: Daniyar Abdi | LinkedIn

Главная страница ➡️ Технологии ➡️ Корневые сертификаты НУЦ

Корневые сертификаты НУЦ нужны для того, чтобы компьютер, браузер и связанные сервисы доверяли инфраструктуре электронной подписи Казахстана. Если они не установлены или установлены неверно, пользователь видит знакомые проблемы: NCALayer не подписывает, сайт не распознает ЭЦП, а вход в личный кабинет или подписание документов срываются в самый неподходящий момент. В этой статье разберем, что именно скачивать, когда это действительно нужно, как проверить установку и какие ошибки встречаются чаще всего.

Содержание

Что такое корневые сертификаты НУЦ и почему без них ЭЦП может не работать

Корневой сертификат — это верхняя точка доверия в цепочке проверки сертификатов. По сути, система должна понимать, какому удостоверяющему центру можно доверять. В инфраструктуре Казахстана для работы с ЭЦП используются сертификаты Корневого удостоверяющего центра и Национального удостоверяющего центра. На официальной странице НУЦ опубликованы актуальные сертификаты КУЦ и НУЦ, в том числе RSA 2020, GOST 2022, RSA 2022 и GOST 2022 с длительными сроками действия до 2045 года. Когда эти корневые сертификаты отсутствуют в доверенном хранилище, система не может корректно выстроить цепочку доверия, а значит подпись, аутентификация и часть криптографических операций начинают давать сбои. Это стандартная логика PKI и X.509, а не особенность одного сайта или одного браузера.

Когда корневые сертификаты НУЦ действительно нужны, а когда проблема в другом

Пользователи часто ставят все подряд, хотя причина не всегда в сертификатах. На практике корневые сертификаты НУЦ нужны в трех типовых сценариях.

Во-первых, когда NCALayer сообщает об ошибке доверия или не может использовать ключ для входа и подписи. Сам НУЦ прямо указывает: при ошибках с NCALayer следует установить корневые сертификаты, а в Windows программа при запуске проверяет наличие сертификатов КУЦ и НУЦ в хранилище «Доверенные корневые центры сертификации». Если их нет, NCALayer запрашивает установку.

Во-вторых, когда вы работаете на Mac или в Firefox. На Mac официальное руководство НУЦ отдельно советует вручную установить доверие к корневым сертификатам в «Связке ключей». Для Firefox ситуация тоже особая: у браузера есть собственная политика доверия, и он может не использовать системное хранилище так, как это делает Chrome или Edge. Mozilla отдельно описывает работу своего root store и механизм доверия к системным корням.

В-третьих, когда после обновления ОС, браузера или переносе ключей на другой компьютер подпись перестала работать. В таких случаях проблема часто не в самих ключах ЭЦП, а в окружении: отсутствует доверие к корневой инфраструктуре, не запущен NCALayer, либо пользователь выбирает не тот сертификат для операции. Например, для входа в личный кабинет НУЦ используется AUTH_RSA.

Какие именно сертификаты скачивать в Казахстане

На официальной странице НУЦ размещены четыре ключевые позиции, которые чаще всего фигурируют в пользовательских инструкциях:

Сертификат	Назначение	Актуальность по данным страницы НУЦ
КУЦ (RSA 2020)	Корневой удостоверяющий центр	действует до 08.09.2045
КУЦ (GOST 2022)	Корневой удостоверяющий центр	действует до 08.09.2045
НУЦ (RSA 2022)	Национальный удостоверяющий центр	действует до 07.09.2045
НУЦ (GOST 2022)	Национальный удостоверяющий центр	действует до 07.09.2045

Если говорить простым языком, это не пользовательские ключи ЭЦП, а сертификаты доверия для системы. Их не выпускают на ваше имя. Их задача — позволить устройству проверить подлинность инфраструктуры НУЦ РК. Поэтому путать их с файлами AUTH_RSA, SIGN_RSA или контейнером ключей не стоит. Это разные сущности.

Как установить корневые сертификаты НУЦ без лишней рутины

Самый простой путь на Windows — установить свежий NCALayer с официального сайта и дать программе право добавить сертификаты в доверенное хранилище. В официальном руководстве указано, что NCALayer сам проверяет наличие сертификатов КУЦ и НУЦ и предлагает их установить, если они отсутствуют. Это удобнее ручной возни с хранилищами и снижает риск поставить файл не туда.

Если автоматический сценарий не сработал, тогда скачайте корневые сертификаты только с официальной страницы НУЦ. После этого:

Windows

Откройте скачанный сертификат. Выберите установку в системное хранилище. Поместите сертификат в «Доверенные корневые центры сертификации». После установки перезапустите браузер и NCALayer. Логика Windows строится именно вокруг trusted root store, и без него цепочка доверия не считается полной.

macOS

Откройте «Связка ключей», импортируйте сертификат в System или другой нужный keychain и проверьте настройки Trust. Apple отдельно описывает, как менять политику доверия для сертификата в Keychain Access. На Mac чаще ломается именно этап доверия, а не этап импорта файла.

Firefox

Либо импортируйте сертификат напрямую в Firefox, либо включите использование системных корней, если это допустимо в вашем окружении. Mozilla прямо указывает, что параметр ImportEnterpriseRoots позволяет Firefox доверять корневым сертификатам из системы. Для казахстанских сервисов это часто снимает проблему, когда в Chrome всё работает, а в Firefox нет.

Как понять, что установка прошла успешно

Есть четыре быстрых признака.

Во-первых, NCALayer запускается без предупреждений о сертификатах и видит ваши ключи. Во-вторых, сервисы НУЦ и eGov перестают выбрасывать ошибки доверия при входе или подписи. В-третьих, в системе сертификаты отображаются в доверенном корневом хранилище. В-четвертых, проверка ключа и наличие регистрационных свидетельств проходят корректно через сервисы НУЦ. На сайте НУЦ есть отдельные сервисы проверки, которые помогают отличить проблему доверия от проблемы самого ключа или статуса заявки.

Какие ошибки встречаются чаще всего

Ситуация	Что это значит	Что делать
Сайт не видит ЭЦП	NCALayer не запущен или не установлен	Обновить и запустить NCALayer
Подпись не проходит	Нет доверия к корневым сертификатам	Установить актуальные сертификаты КУЦ и НУЦ
На Mac все импортировано, но не работает	Не выставлено доверие в Keychain	Проверить Trust для сертификата
В одном браузере работает, в другом нет	Разные хранилища сертификатов	Проверить настройки Firefox или системное хранилище
Пользователь выбирает не тот ключ	Перепутаны AUTH и SIGN	Для входа выбирать AUTH_RSA, для подписи — соответствующий ключ

Практически всегда помогает не «магический набор действий», а нормальная диагностика по цепочке: сертификаты доверия → NCALayer → правильный браузер → правильный ключ → проверка через сервисы НУЦ. Такой порядок экономит время и снижает количество хаотичных переустановок.

Чеклист: что проверить за 3 минуты

Проверьте, что корневые сертификаты скачаны только с pki.gov.kz.

Установлени ли свежий NCALayer?

Проверьте, что NCALayer запущен в момент входа или подписи.

Проверьте, что сертификаты попали именно в доверенное корневое хранилище.

Если на Mac, то выставлено ли доверие в Keychain Access.

Проверьте, что в Firefox включено доверие к системным корням или сделан импорт.

Для входа выбран AUTH_RSA.

Проверьте ключ через сервисы НУЦ, а не только через сайт, где произошла ошибка.

Статистический блок: почему тема массовая, а не нишевая

Проблемы с ЭЦП и доверенными сертификатами касаются не узкой группы пользователей. По статистике НУЦ РК, на март 2026 года общее количество действующих ключей ЭЦП превышает 27 миллионов, из них более 25,9 миллиона приходится на физических лиц и около 1,3 миллиона — на юридические лица. За 2026 год уже выпущены миллионы операций удаленной идентификации. Это объясняет, почему запросы вроде «не работает ЭЦП», «ошибка NCALayer» и «как установить корневые сертификаты НУЦ» стабильно востребованы в Казахстане. Чем шире база пользователей, тем выше цена даже мелкой ошибки на стороне устройства.

Что важно для безопасности

Корневые сертификаты НУЦ нужно брать только с официального сайта. Не скачивайте их из форумов, Telegram-чатов, облачных дисков и «готовых архивов». Корневой сертификат — это основа доверия. Если подменить его или установить файл из сомнительного источника, вы рискуете не только сломать подпись, но и подорвать безопасность системы. В инфраструктуре PKI доверие строится сверху вниз, поэтому источник имеет значение не меньше, чем сама установка.

Корневые сертификаты НУЦ | FAQ

Что такое корневые сертификаты НУЦ?

Это сертификаты доверия, с помощью которых ОС и браузер понимают, что инфраструктуре НУЦ РК можно доверять. Без них ЭЦП может не проходить проверку.

Где скачать корневые сертификаты НУЦ?

Только на официальном сайте НУЦ РК, на странице «Корневые сертификаты».

Нужно ли устанавливать все сертификаты сразу?

Обычно ориентируются на актуальный набор, опубликованный на официальной странице НУЦ. В типовых инструкциях фигурируют сертификаты КУЦ и НУЦ для RSA и GOST.

Почему NCALayer все равно не работает после установки?

Часто проблема возникает, когда пользователь не запускает программу, не устанавливает сертификаты в доверенное хранилище, не включает доверие в macOS или выбирает не тот ключ.

Нужны ли корневые сертификаты на Mac?

Да, и в macOS нередко нужно не только импортировать сертификат, но и явно задать ему доверие через Keychain Access.

Почему в Firefox ошибка есть, а в Chrome нет?

Потому что Firefox может использовать собственное хранилище доверия и отдельные правила для корневых сертификатов.

Глоссарий

НУЦ РК — Национальный удостоверяющий центр Республики Казахстан.

КУЦ — корневой удостоверяющий центр, верхняя точка доверия в цепочке.

ЭЦП — электронная цифровая подпись.

NCALayer — программный компонент для работы с ЭЦП НУЦ РК в веб-приложениях.

PKI — инфраструктура открытых ключей.

X.509 — стандарт формата сертификатов и цепочек доверия.

Trust Store — системное или браузерное хранилище доверенных корневых сертификатов.

AUTH_RSA — сертификат, который используется для авторизации.

GOST / RSA — криптографические алгоритмы, на которых выпускаются сертификаты.

Keychain Access — инструмент macOS для управления сертификатами и доверием.

Заключение

Корневые сертификаты НУЦ — это базовый элемент работы ЭЦП в Казахстане, а не второстепенная деталь. Если установить их из официального источника и проверить доверие в системе, большинство ошибок с NCALayer, входом и подписью закрываются без лишней ручной рутины.

Использованные источники

Официальная страница корневых сертификатов НУЦ РК — pki.gov.kz.

Страница сертификатов НУЦ РК и ссылки на официальные материалы — pki.gov.kz.

Страница NCALayer с примечанием для macOS о доверии к корневым сертификатам — pki.gov.kz.

Главная страница НУЦ РК с рекомендацией установить корневые сертификаты при ошибках NCALayer — pki.gov.kz.

Руководство NCALayer для Windows с указанием на проверку хранилища доверенных корневых центров — pki.gov.kz.

Руководство для Firefox по установке сертификатов — pki.gov.kz.

Статистика НУЦ РК по действующим ключам ЭЦП — pki.gov.kz.

Личный кабинет НУЦ РК с указанием AUTH_RSA для входа — pki.gov.kz.

RFC 5280, профиль X.509 для интернет-инфраструктуры сертификатов — datatracker.ietf.org.

Документация Microsoft по Trusted Root Certification Authorities — learn.microsoft.com.

Документация Apple по настройке доверия к сертификатам в Keychain Access — support.apple.com.

Политика Mozilla Root Store и инструкция по доверию к системным сертификатам — mozilla.org, support.mozilla.org.

Читать другие статьи из категории: Технологии.

Корневые сертификаты НУЦ: зачем нужны и как не застрять на ошибке подписи