Состояние TLS в 2026 году: что показывают проверки

Числа здесь двух родов, и они не смешиваются.

Независимый замер приводится со ссылкой, датой и охватом. Он сделан по списку самых посещаемых сайтов мира и не описывает Рунет.

Наши проверки. С 20 марта по 26 августа 2026 года через SSL-чекер прошло 2 803 проверки по 2 249 хостам. Это не выборка Рунета: сюда попадают домены, которые кто-то решил проверить. Сравнение зон внутри выборки корректно, перенос уровней на «все сайты» — нет.

Отдельно 27 августа 2026 года мы сделали два замера: по 87 хостам с оценкой B или C разобрали, на чём теряются баллы, и по 113 хостам общей выборки — какие версии протокола те поддерживают.

Исследование Скотта Хелма Top 1 Million Analysis — The State of Crypto от 13 июня 2026 года охватывает 819 002 ответивших сайта из списка Tranco Top 1 Million:

Ключевое здесь — нули внизу таблицы: устаревшие версии протокола на вершине веба вымерли. TLS 1.1 не поддерживает ни один сайт из 819 тысяч, TLS 1.0 — сто шесть штук.

Оттуда же доли удостоверяющих центров: Let’s Encrypt 302 116 сертификатов, Google Trust Services 203 436, Amazon 37 690, DigiCert 34 961, Sectigo 29 006. И сроки: 77,4% сертификатов выпущены на 48–90 дней — почерк автоматического выпуска по ACME.

27 августа 2026 года мы проверили, какие версии протокола поддерживают хосты из общей выборки — по 80 на зону, ответили 56 и 57:

Результат стоит проговорить прямо, потому что он противоречит расхожему ожиданию. Устаревшие TLS 1.0 и 1.1 не поддерживает ни один хост ни в одной зоне. В этом Рунет не отстаёт от мира — он ровно там же. Больше того, по поддержке TLS 1.3 наша .ru-выборка идёт чуть впереди .com, 83,9% против 80,7%, хотя разница на такой выборке не доказана.

Заметим и расхождение с топ-миллионом: там TLS 1.3 у 70,4%, у нас — за 80% в обеих зонах. Это ожидаемо: к нам приходят проверять домены те, кто уже занимается настройкой, а Tranco Top 1M включает и давно заброшенные сайты.

Последний вердикт по каждому из 2 249 хостов:

Почти каждый седьмой проверенный хост вообще не доводит TLS-соединение до конца.

Доля откровенно плохих настроек (D–F) у .ru и .com почти одинакова: 4,0% против 2,6%. Разница целиком сидит в средней полосе — B/C у .ru вдвое чаще, 26,0% против 13,6%. Российские сайты не ломаются чаще, они чаще недонастроены.

Мы повторно проверили 87 хостов с оценкой B или C и разобрали оценку по компонентам. Доля хостов, теряющих баллы:

Разница по протоколу — не в устаревших версиях, а в отсутствии новой. Среди недонастроенных российских хостов шесть из десяти умеют только TLS 1.2, у .com — менее четырёх из десяти. Старые 1.0 и 1.1 при этом выключены у всех, как показал замер выше.

Второе: отсутствие HSTS — не российская особенность, его нет у 83–87% в обеих зонах. Это общий недочёт и самый дешёвый в устранении: один заголовок ответа.

Оговорка о размере: 42 и 45 хостов — мало. Разрыв в 22 процентных пункта по поддержке TLS 1.3 велик и согласуется с направлением независимого замера; разницу по шифрам на такой выборке доказанной мы не считаем.

1. Включите TLS 1.3. Главное отличие недонастроенных российских хостов — не включённое старьё, а невключённая новая версия. Что меняется и как перейти — TLS 1.3 против TLS 1.2.
2. Включите HSTS. Самый частый недочёт в обеих зонах, один заголовок Strict-Transport-Security — HSTS и HSTS Preload.
3. Проверьте, что 1.0 и 1.1 действительно выключены. В нашей выборке их не поддерживал никто, но выборка не покрывает весь Рунет — убедитесь на своём домене.
4. Уберите слабые наборы шифров — слабые cipher suites.
5. Автоматизируйте выпуск сертификата. 77,4% сертификатов в топ-миллионе живут 48–90 дней: короткий срок безопасен ровно потому, что продление не делают руками — бесплатный SSL через Let’s Encrypt.