Господпись для кода появится в 2027 году: что это изменит для разработчиков

Государство намерено предложить рынку собственный инструмент для подтверждения издателя и целостности программ. Речь идёт о сертификатах электронной подписи кода, которые позволят пользователю убедиться: приложение выпущено конкретным разработчиком и не было изменено после публикации. Важно понимать, что подпись не гарантирует безопасность программы — она лишь фиксирует её происхождение и неизменность.

Планируется, что Минцифры получит полномочия Национального удостоверяющего центра. Ведомство возьмёт на себя полный жизненный цикл сертификата: установит технические требования, будет выдавать и отзывать подписи, определять сроки их действия и вести единый реестр. Старт выдачи сертификатов подписи кода намечен на 2027 год. Корпоративные сертификаты безопасности появятся годом позже — в 2028-м.

Финансовая сторона вопроса пока остаётся открытой. Закон допускает введение платы за сертификаты, но не обязывает этого делать. Решение о платности и конкретные тарифы ещё не приняты.

Признание за рубежом и двойная подпись

Главная техническая интрига проекта — как новые сертификаты будут восприниматься операционными системами, браузерами и магазинами приложений. Для нормальной работы потребуется их техническое признание на уровне платформ. При этом за пределами России госсертификат автоматического доверия не добавит — решение останется за зарубежными владельцами платформ. Разработчикам, чьи продукты работают на нескольких рынках, вероятно, придётся использовать как минимум две подписи: российскую государственную и ту, что признаётся зарубежными вендорами. Это нужно закладывать в процесс сборки и дистрибуции уже сейчас.

Что делать разработчикам уже сегодня

Хотя до 2027 года есть запас времени, подготовку к новым требованиям стоит начинать заранее. В первую очередь необходимо провести аудит текущих процессов подписания кода в компании. Если продукт распространяется за пределами России, стоит оценить сценарий работы с несколькими сертификатами и протестировать, как это повлияет на цепочку поставки обновлений. По мере появления проектов нормативных актов от Минцифры важно отслеживать технические требования к сертификатам, чтобы к моменту запуска системы ваши сборочные конвейеры были к ним готовы.