Сертификат клиента

Сертификат клиента — сертификат X.509, содержащий открытый ключ и идентификационные атрибуты субъекта, который подключается к серверу. Его используют для криптографической аутентификации клиента вместо либо вместе с паролем, токеном или иным фактором. В TLS клиент доказывает владение закрытым ключом, соответствующим сертификату, подписывая данные рукопожатия. Сервер проверяет цепочку доверия, срок действия, назначение ключа и, при настроенной проверке, статус отзыва. Для предоставления доступа сервер или приложение также сопоставляет идентификатор либо сам сертификат с разрешённым субъектом и применяет правила авторизации. Для практического применения необходимы защищённое хранение закрытого ключа и управление жизненным циклом сертификатов. Сертификаты клиента применяют в mTLS между сервисами, VPN, административных порталах, API и доступе устройств к корпоративной сети. Решение требует настройки доверия: в масштабе обычно используют собственную PKI или внешний доверенный УЦ, а в точечных сценариях возможно явное доверие отдельным сертификатам. В любом случае нужны процедуры выпуска, замены и отзыва сертификатов либо удаления их из списка доверенных. Сертификат клиента отличается от серверного сертификата: серверный подтверждает подлинность узла, к которому подключается клиент, а клиентский — подлинность подключающейся стороны. Он также не равен сертификату УЦ, который предназначен для подписания других сертификатов.