Какие сертификаты безопасности существуют
Что проверяют
Прежде всего, как вы уточняете неоднозначный вопрос. Под «сертификатами» могут иметь в виду TLS-сертификаты сайта, стандарты вроде ISO 27001 или личные сертификации специалиста. От тестировщика чаще ждут первое, и следом спрашивают, что конкретно вы проверяете у сертификата на стенде и в проде.
Как отвечать
Коротко назовите три смысла и раскройте тот, что ближе к работе QA:
- TLS-сертификаты (X.509): по уровню проверки DV, OV и EV, по охвату одиночные, wildcard (
*.example.com, только один уровень поддоменов) и мультидоменные с SAN. Самоподписанные годятся только для внутренних стендов; - что тестировать: срок действия, полноту цепочки до корня, совпадение имени хоста, редирект с HTTP на HTTPS, заголовок HSTS, отсутствие смешанного контента, версию протокола не ниже TLS 1.2. Инструменты:
openssl s_client -connect host:443 -servername host,testssl.sh, онлайн-проверка SSL Labs; - стандарты и аудит: ISO/IEC 27001 сертифицирует систему управления ИБ, PCI DSS обязателен при работе с данными карт, SOC 2 это отчёт аудитора, а не сертификат. В России добавьте 152-ФЗ о персональных данных и требования ФСТЭК. Для QA из них вытекают задачи: обезличенные тестовые данные, проверка, что номера карт и пароли не попадают в логи, тесты разграничения доступа;
- личные сертификации: у ISTQB есть отдельный модуль по тестированию безопасности, у пентестеров OSCP. Упомянуть можно, но это не главный ответ.
Полезная деталь: публичные сертификаты живут всё меньше, с марта 2026 года максимум 200 дней, поэтому автоматическое продление и мониторинг истечения стали обязательными.
Где спотыкаются
Отвечают списком стандартов и не касаются TLS, хотя вопрос задан тестировщику. Интервьюер ждал проверок, а услышал пересказ ISO.
Называют HIPAA или NIST CSF сертификатами. HIPAA это закон США, NIST CSF это набор рекомендаций, сертификата по ним в привычном смысле не выдают.
Проверяют сертификат только в браузере. Браузер часто сам достраивает недостающий промежуточный сертификат, а мобильное приложение, Java-клиент или curl на той же цепочке падают с ошибкой.