Безопасность Яндекс Браузера для организаций можно централизованно настраивать с помощью корпоративных политик. Администратор может управлять безопасным просмотром, расширениями, сертификатами, доступом к сайтам, разрешениями, паролями и другими параметрами браузера.
Для корпоративной инфраструктуры это позволяет задать единые требования безопасности для рабочих компьютеров, уменьшить количество нежелательных пользовательских изменений и централизованно контролировать параметры браузера.
Что можно контролировать централизованно
- безопасный просмотр;
- установку расширений;
- доступ к сайтам;
- загрузку файлов;
- сохранение паролей;
- разрешения веб-сайтов;
- доверенные сертификаты;
- HTTPS и TLS;
- прокси-серверы;
- корпоративную аутентификацию;
- КриптоПро и ЭЦП;
- другие параметры безопасности.
Protect и встроенная защита Яндекс Браузера
Яндекс Браузер содержит собственные механизмы защиты при работе в интернете. В корпоративной версии часть параметров безопасности можно дополнительно контролировать централизованными политиками.
Одна из таких настроек — политика SafeBrowsingProtectionLevel. Она определяет режим Безопасного просмотра, при котором открываемые сайты проверяются на наличие вредоносного содержимого.
Для администратора: не рекомендуется отключать механизмы безопасного просмотра без веской причины. Перед изменением защитных политик проверяйте влияние настроек на используемые корпоративные веб-приложения.
Базовый и повышенный уровень безопасности
В документации Яндекс Браузера политики безопасности разделяются по уровню защиты.
Базовый уровень
Подходит большинству организаций. Такие политики позволяют усилить безопасность браузера без чрезмерного ограничения пользователей.
Повышенный уровень
Подходит организациям, где защита данных важнее удобства. Некоторые настройки могут ограничивать привычные функции браузера, поэтому их особенно важно сначала тестировать.
Рекомендуемый минимальный набор безопасности
Для большинства корпоративных компьютеров разумно начать не с максимальных ограничений, а с базового набора политик.
- включить безопасный просмотр;
- ограничить установку неизвестных расширений;
- разрешить только необходимые корпоративные расширения;
- контролировать сохранение паролей;
- ограничить опасные разрешения веб-сайтов;
- централизованно распространять доверенные сертификаты;
- настроить корпоративный прокси при его использовании;
- проверять применение параметров через
browser://policy; - перед массовым применением тестировать настройки на отдельной группе компьютеров.
Настройка безопасности через групповые политики
В Windows централизованную настройку Яндекс Браузера удобно выполнять через групповые политики и административные шаблоны ADMX/ADML.
Администратор задаёт необходимые параметры в GPO, связывает объект политики с нужным OU, а рабочие компьютеры получают настройки централизованно.
Контроль расширений
Браузерные расширения могут получать доступ к страницам, данным браузера и отдельным функциям компьютера. В корпоративной среде их лучше контролировать централизованно.
ExtensionInstallBlocklist
Политика ExtensionInstallBlocklist позволяет задать список расширений, установка которых запрещена.
Значение * можно использовать для запрета установки всех расширений, кроме тех, которые отдельно разрешены политикой ExtensionInstallAllowlist.
ExtensionInstallAllowlist
Политика ExtensionInstallAllowlist задаёт исключения из общего запрета. В неё можно добавить идентификаторы корпоративных расширений, которые сотрудникам разрешено использовать.
ExtensionInstallForcelist
Если расширение обязательно для работы организации, можно использовать ExtensionInstallForcelist. Расширения из этого списка устанавливаются принудительно без участия пользователя.
Практический вариант: запретить установку всех расширений через *, затем добавить необходимые корпоративные расширения в список разрешённых или устанавливаемых принудительно.
Ограничение доступа к сайтам
В корпоративной сети может потребоваться запретить отдельные веб-ресурсы или, наоборот, разрешить доступ только к определённым сайтам.
Политики браузера можно использовать вместе с корпоративным прокси, DNS-фильтрацией и межсетевым экраном. При этом браузерные ограничения не должны рассматриваться как единственный уровень защиты сети.
Перед массовым применением правил доступа обязательно проверьте используемые внутренние порталы, системы электронного документооборота, почту, сервисы авторизации и другие рабочие ресурсы.
HTTPS и сертификаты
Внутренние корпоративные сайты часто используют HTTPS и сертификаты собственного центра сертификации. Если цепочка доверия настроена неправильно, браузер может показывать предупреждение безопасности или не открывать ресурс.
При проблемах с HTTPS проверьте:
- срок действия сертификата;
- соответствие имени сайта сертификату;
- цепочку доверия;
- наличие доверенного корневого сертификата;
- наличие необходимых промежуточных сертификатов;
- SSL-инспекцию на прокси или межсетевом экране;
- корпоративные политики браузера и операционной системы.
Централизованное управление доверенными сертификатами
В актуальных версиях Яндекс Браузера для организаций доступны отдельные политики для работы с корпоративными сертификатами.
CACertificates
Политика CACertificates задаёт список доверенных корневых TLS-сертификатов. Это может быть полезно для корпоративных центров сертификации и внутренних HTTPS-сервисов.
Политика поддерживается в Яндекс Браузере версии 26.4.4 и выше.
CAHintCertificates
Политика CAHintCertificates предназначена для промежуточных сертификатов. Они не становятся доверенными сами по себе, но могут использоваться браузером при построении цепочки TLS-сертификата сервера.
Если организация уже распространяет корневые сертификаты через Active Directory и групповые политики Windows, можно продолжать использовать системный механизм. Браузерные политики дают дополнительный вариант централизованной настройки.
ГОСТ, российские сертификаты и КриптоПро
В корпоративных и государственных информационных системах могут использоваться российские криптографические алгоритмы, электронная подпись, сертификаты пользователей и КриптоПро CSP.
Для таких сценариев необходимо отдельно проверить работу КриптоПро CSP, браузерного расширения, пользовательских сертификатов и конкретного веб-сервиса.
Для работы с ресурсами, использующими российские криптографические стандарты, на сайте выделены отдельные инструкции по КриптоПро и ГОСТ.
Сохранение паролей
В зависимости от требований организации администратор может определить, разрешено ли сотрудникам хранить пароли непосредственно в браузере.
Если в компании используется отдельный корпоративный менеджер паролей, хранение паролей в браузере можно ограничить политиками, чтобы сотрудники использовали единый утверждённый инструмент.
Разрешения сайтов
Веб-сайты могут запрашивать доступ к функциям браузера и компьютера. В корпоративной среде часть таких разрешений имеет смысл ограничивать централизованно.
- камера;
- микрофон;
- уведомления;
- геолокация;
- всплывающие окна;
- буфер обмена;
- доступ к локальным ресурсам;
- другие возможности браузера.
Ограничения должны соответствовать рабочим сценариям. Например, полный запрет камеры и микрофона может нарушить работу корпоративных видеоконференций.
Прокси, SSL-инспекция и безопасность
Корпоративный прокси может использоваться для фильтрации трафика, журналирования, ограничения доступа и применения единых сетевых правил.
Если используется SSL-инспекция, рабочие компьютеры должны доверять сертификату корпоративного прокси. Иначе HTTPS-сайты могут открываться с ошибками сертификата.
- проверьте адрес и порт прокси;
- проверьте правила исключений;
- проверьте корпоративный корневой сертификат;
- убедитесь, что внутренние сервисы не блокируются фильтрацией;
- проверьте доступ к CRL и OCSP при необходимости.
Как проверить применённые политики безопасности
После изменения групповых политик сначала обновите политики Windows на тестовом компьютере:
gpupdate /force
Затем проверьте применение GPO:
gpresult /r
Для сохранения подробного отчёта используйте:
gpresult /h C:\gpresult.htmlПосле этого откройте в Яндекс Браузере:
browser://policy
На странице browser://policy отображаются политики, которые браузер фактически получил. После изменения настроек можно использовать повторную загрузку политик или перезапустить браузер.
Если политика безопасности не применяется
Если нужная настройка не работает, последовательно проверьте:
- актуальны ли используемые ADMX и ADML;
- связана ли GPO с правильным OU;
- на пользователя или компьютер назначена настройка;
- появляется ли объект GPO в
gpresult; - видит ли политику Яндекс Браузер через
browser://policy; - нет ли другой политики с более высоким приоритетом;
- не конфликтуют ли параметры между собой;
- поддерживается ли конкретная политика установленной версией браузера;
- перезапущен ли браузер после изменения настройки.
Чек-лист перед массовым применением
- Обновите административные шаблоны браузера.
- Определите обязательные требования безопасности.
- Создайте отдельную тестовую GPO.
- Привяжите её к тестовому OU.
- Обновите политики командой
gpupdate /force. - Проверьте настройки через
gpresultиbrowser://policy. - Проверьте внутренние сайты, прокси, сертификаты, КриптоПро и рабочие расширения.
- Только после тестирования расширяйте область применения GPO.
Важно: не включайте максимально жёсткий набор ограничений сразу на всех рабочих компьютерах. Даже корректная с точки зрения безопасности политика может нарушить работу корпоративного веб-приложения, расширения или сценария удалённой работы.
