Делюсь наблюдением о несовпадающем сертификате издателя в десктоп клиенте мессенджера под Windows.

В техподдержку сообщать не стал, так как формально ошибки в приложении нет. А несовпадение могло оказаться разовым костылём для срочного обхода недавней санкции Совета ЕС, согласно которой всех там обязали прекратить сотрудничество с подсанкционными субъектами. Что теоретически могло выразиться в таком же отзыве центрами сертификации всех сертификатов компании разработчика Макса, как это выполнялось в июне центром сертификации GlobalSign по майскому пакету санкций.

Соответственно, компания могла просто воспользоваться сертификатом какого-нибудь сотрудника, пока устраняют новую проблему.

В мессенджер Макс я захожу может раз в месяц, чтобы проверить, появились ли новые плюшки и не снижено ли ограничение числа публичных каналов для ИП и самозанятых. На проверку мне хватало десктопной версии, поэтому её и поставил когда-то.

И вот за прошедшие месяцы я заметил, что первоначальный установщик, то есть файл MAX.msi, а также пакет его текущего обновления, то есть файл %TMP%/Update-*/MAX.msi, подгружаемый мессенджером при появлении новой версии, всегда были подписаны одним автором - это компания Communication Platform LLC.

Тот же автор указывался службой контроля учётных записей Windows в графе издателя, когда очередное обновление пыталось выполнить какие-либо изменения на компьютере. Такое совпадение авторства вызывало у меня доверие.

Но в августовском обновлении после нажатия в клиенте ссылки "Настройки / О приложении / Проверить обновления" и окончании загрузки что-то пошло не так. Издателем вдруг оказалось неизвестное частное лицо.

Сразу извиняюсь за качество этого снимка и снимков ниже.

Спрашивается, ху из Konstantin Syomochkin и почему теперь он издатель, а не прежняя компания разработчик?

Вряд ли я смог бы выяснить причину несовпадения через поиск, поэтому ограничился выяснением по сертификату Константина кто это и работает ли в штате разработчиков Макса.

Из примечательных деталей: сертификат выдан всего полмесяца спустя санкций, а сам Константин вообще из Астаны, Казахстан.

Поиск показал, что похожий и по имени и по географии человек упоминался лишь в роли Android-разработчика на сайте StackOverflow и в той же роли один раз упоминался здесь на Хабре среди спикеров в статье "Что о мобильной разработке можно будет узнать на Mobius 2023 Spring", где был отмечен как член команды разработки Дзен. Однако в неофициальном списке из 737 сотрудников VK на Хабре его тоже не нашлось.

Ещё одна деталь

Каждый из этих установщиков, отдаваемых сейчас сайтом Макс для платформы Windows со страницы "MAX для компьютера", имеет версию 26.23.0 и не содержит постороннего сертификата издателя:

• MAX.msi (размер 313 Мбайт);

• MAX+Yandex.msi (размер 328 Мбайт).

В то время как вот этот установщик (апдейт), отдаваемый сайтом по запросу из десктопного клиента, имеет версию 26.27.3 и, соответственно, посторонний сертификат на имя Konstantin Syomochkin:

• %TMP%/Update-*/MAX.msi (размер 235 Мбайт).

Так как запросы на скачивание во всех случаях идут, как мне кажется, через треккер Mail.ru и должны приходить в точку вида download.cdn.oneme.ru/win/*.msi, то лучше бы конечно ответственным лицам из команды VK проверить, не было ли нарушений в цепочке доставки установочных пакетов на десктопные клиенты.

Установку обновления клиента на свой компьютер я отклонил от греха подальше. Потому что фиг его знает, что там на самом деле.

UPDATE от 20.08.2026

Сегодня на сайте Макса окончательно выкатили в прод ту странную десктопную версию. Теперь она грузится не только по запросу из клиента, но и прямо по кнопке с сайта.

Видимо и вправду имеются некие проблемы с сертификатами, требующие немедленного решения, отчего руководство закрыло глаза на такой отчаянный вариант, когда весь код национального мессенджера подписан сертификатом неизвестного общественности человека.

Итак, вот что имеем по состоянию на 21 августа:

• MAX для организаций: версия приложения 26.27.3, размер 235 Мбайт, прямая ссылка download.cdn.oneme.ru/win/release/MAX.msi

  Чтобы убедиться воочию, открываем файл в редакторе и идём по смещению 000EA00568. Здесь мы видим дату выдачи сертификата (29 июля 2026 года), далее 2-буквенный код страны, город и имя владельца.

  В самом верху скриншота также видно, каким центром выдан сертификат - это SSL.com Code Signing Intermediate CA RSA R1.

Идём дальше...

Так как следующий файл качается пользователями, скорее всего, реже и его ещё не успели обновить на проде, то, пока там лежит прежняя версия приложения, интересно взглянуть, чьим сертификатом код подписывался ранее:

• MAX для Windows: версия приложения 26.23.0, размер 328 Мбайт, прямая ссылка download.cdn.oneme.ru/win/release/MAX+Yandex.msi

  Идём в редакторе по смещению 001380870E и видим там сертификат компании ВКонтакте, выданный 4 мая 2026 года, с указанием страны, города и даже адреса компании - Ленинградский проспект 39, строение 79.

  Посмотрите сразу, каким центром выдан сертификат - GlobalSign GCC R45 EV CodeSigning CA 2020. Тем самым, который под санкционным давлением стал в июне отзывать свои сертификаты.

Любопытно также взглянуть, а как дела с Маками...

• MAX для macOS: версия приложения 26.28.0, кодовое название Darwin, размер 224 Мбайт, прямая ссылка download.cdn.oneme.ru/mac/release/MAX.dmg - идём в редакторе по смещению 000E0573E5.

  Не могу судить что такое "PINPEG, OOO (79DMA2QM4Y)". Алиса предполагает, это могло быть названием сингапурской компании. Но тройная буква О наводит на иную мысль, просто гадать не хочется.