Ошибка «Найдены сообщения, которые нельзя расшифровать» в 1С-Отчетности

Сообщение Найдены сообщения, которые нельзя расшифровать или Не удалось расшифровать файл в 1С-Отчетности почти всегда значит одно: ответ контролирующего органа зашифрован на сертификат, закрытого ключа которого сейчас нет на этом компьютере. Сначала проверьте, вставлен ли токен со старым ключом и не меняли ли вы недавно электронную подпись. Это закрывает большую часть случаев за пять минут.

Если ключ на месте, дело в криптопровайдере, в настройках шифрования программы или в том, где выполняется расшифровка — на клиенте или на сервере. Проверки идут от самой быстрой к самой трудоёмкой. Путь меню приведён для 1С:Бухгалтерии 3.0, в ЗУП 3.1 и других конфигурациях на БСП механизм тот же.

Почему 1С-Отчетность не может расшифровать файл

Оператор связи и контролирующие органы шифруют входящие пакеты на сертификат, который указан в учётной записи документооборота. Расшифровать их может только тот, у кого есть парный закрытый ключ. Отсюда и все причины сбоя.

🔑 Сертификат заменили, а старый ключ убрали. Протоколы, квитанции и требования, отправленные до перехода на новую подпись, зашифрованы на старый сертификат. Новым ключом их не открыть.

💾 Носитель не подключён. Рутокен или флешка с контейнером остались на другом компьютере, в другом USB-порту терминального сервера или не проброшены в RDP-сессию.

🧩 Криптопровайдер не видит ключ или не работает . Истекла лицензия КриптоПро CSP, стоит версия без поддержки ГОСТ 2012, контейнер не связан с сертификатом в хранилище «Личное».

⚙️ Не та программа в настройках 1С. В списке программ электронной подписи указан другой криптопровайдер или неверный тип.

🖥️ Расшифровка идёт на сервере. Включено выполнение криптографических операций на сервере, а ключа на сервере 1С нет или у пользователя службы нет к нему доступа.

👤 Пакет зашифрован не на вас. Отчёт отправлял уполномоченный представитель или другой ответственный со своей подписью, а получаете ответ вы.

📦 Повреждённый пакет или устаревшая компонента. Реже: пакет пришёл с ошибкой, либо компонента криптографии 1С-Отчетности устарела после обновления платформы.

Как проверить сертификаты и ключи для расшифровки

Начните с того, какой сертификат вообще прописан в 1С-Отчетности и есть ли к нему ключ.

В программе 1С

1. Откройте Отчеты → 1С-Отчетность → Регламентированные отчеты.
2. Перейдите в настройки обмена организации и откройте учётную запись документооборота.
3. Посмотрите, какой сертификат указан для ответственного лица. Запомните владельца и срок действия.
4. Откройте Администрирование → Общие настройки → Электронная подпись и шифрование и ссылку на настройки электронной подписи.
5. На вкладке сертификатов найдите тот же сертификат, откройте его и выполните проверку. Программа покажет, найден ли закрытый ключ и работает ли шифрование.

Если проверка пишет, что закрытый ключ не найден, — дальше в КриптоПро.

В КриптоПро CSP

1. Запустите КриптоПро CSP, вкладка «Сервис».
2. Нажмите «Протестировать» и выберите контейнер. Тест покажет, читается ли ключ и не повреждён ли он.
3. Если контейнер есть, а сертификата в хранилище нет — используйте «Установить личный сертификат» на той же вкладке и укажите контейнер.
4. Проверьте лицензию: на вкладке «Общие» указан срок действия. Истекшая лицензия ломает и подпись, и расшифровку.

Список контейнеров удобно посмотреть командой из папки КриптоПро:

cd "C:\Program Files\Crypto Pro\CSP"
csptest -keyset -enum_cont -verifycontext -fqcn

Пароль контейнера и запомненные пароли

При расшифровке 1С запрашивает пароль к закрытому ключу. Если пароль когда-то сохранили с флажком «Запомнить», а потом сменили на носителе, программа подставляет старый и получает отказ. Откройте сертификат в настройках электронной подписи 1С, снимите запоминание пароля и введите актуальный при следующем обмене.

Пароль контейнера и PIN-код токена — разные вещи. PIN защищает весь Рутокен, пароль — конкретный контейнер. После трёх-десяти неверных вводов PIN токен блокируется, и тогда разблокировать его можно только PUK-кодом или у того, кто выдавал подпись.

Терминальный сервер и удалённый рабочий стол

В RDP-сессии токен с компьютера пользователя виден, только если включено перенаправление смарт-карт. Проверьте в настройках подключения к удалённому рабочему столу: вкладка локальных ресурсов, раздел «Подробнее», флажок «Смарт-карты».

КриптоПро CSP должен стоять на терминальном сервере, а лицензия — быть серверной. Клиентская лицензия на терминальном сервере не подходит. Если ключ скопирован в реестр сервера, он доступен только тому пользователю Windows, под которым его установили, — у коллеги в соседней сессии ключа «нет».

Когда сменили подпись

Это самый частый сценарий. Порядок действий:

• 🔌 подключите старый токен или восстановите старый контейнер из резервной копии;
• 🔗 установите старый сертификат в «Личное» и проверьте связь с контейнером;
• 📋 убедитесь, что старый сертификат есть и в списке сертификатов 1С;
• 🔄 запустите обмен — ранее нечитаемые сообщения расшифруются.

Если старый ключ утерян безвозвратно, эти пакеты не открыть никому. Документы придётся получать иначе: повторно запрашивать сверку или выписку через новое подключение, смотреть статус в личном кабинете налогоплательщика.

Настройки шифрования в 1С, которые ломают расшифровку

Даже при живом ключе 1С может пытаться расшифровать файл не той программой или не на том компьютере.

Программы электронной подписи

В настройках электронной подписи есть вкладка со списком программ. Проверьте:

• указан установленный у вас криптопровайдер (КриптоПро CSP или ViPNet CSP);
• выбран тип, подходящий под сертификат: для действующих КЭП — ГОСТ Р 34.10-2012;
• нет двух записей одного криптопровайдера с разными типами, из-за которых 1С берёт не ту.

Лишние записи удалите, нужную добавьте заново и нажмите проверку сертификата ещё раз.

Где выполняются операции: клиент или сервер

В тех же настройках есть флажки, разрешающие проверять подписи и выполнять подписание и шифрование на сервере 1С. Они нужны, когда ключ хранится на сервере.

Типичная ловушка: флажок серверных операций включил администратор, а ключи у бухгалтеров на личных токенах. Тогда сервер пробует расшифровать пакет и не находит ключ. Снимите флажок или перенесите ключ на сервер.

Учётная запись документооборота

Проверьте, что в учётной записи указан именно действующий сертификат ответственного лица. После замены подписи в 1С подают заявление на изменение параметров подключения. Пока оно не одобрено, оператор шифрует ответы на прежний сертификат — и старый ключ снова нужен.

Очистка кэша 1С и временных файлов

Устаревший кэш иногда хранит прежние настройки криптографии и сертификатов. Помогает не всегда, но делается быстро.

Перед очисткой кэша закройте 1С у этого пользователя: открытые сеансы будут прерваны.

Способ 1 — параметр запуска. В окне запуска выберите базу, «Изменить», на последнем шаге в дополнительных параметрах впишите /ClearCache. Запустите базу один раз и уберите параметр.

Способ 2 — вручную. Удалите содержимое папок кэша конкретной базы:

%APPDATA%\1C\1cv8\
%LOCALAPPDATA%\1C\1cv8\

Внутри — папки с именами вида GUID. Удаляйте только их, не трогайте файлы ibases.v8i и 1cestart.cfg: в них список баз.

Временные файлы обмена. 1С-Отчетность при расшифровке использует временный каталог пользователя (%TEMP%). Если диск забит или на папку ограничены права, расшифрованный файл просто некуда записать. Очистите %TEMP% и проверьте свободное место.

Переподключение к серверу оператора и повторный обмен

Когда ключ и настройки в порядке, надо заново получить пакеты.

1. В форме 1С-Отчетности нажмите кнопку обмена (отправить и получить).
2. Дождитесь окончания и посмотрите, остались ли нерасшифрованные сообщения.
3. В учётной записи документооборота выполните тест настроек: программа проверит связь с сервером, сертификаты и шифрование. Результат теста подскажет, на каком этапе сбой.
4. Если пакеты пришли, но висят нерасшифрованными, а тест показывает ошибку шифрования, — вернитесь к проверке ключа и списка программ: связь здесь ни при чём.
5. Если тест падает на связи — проверьте интернет-поддержку в Администрирование → Интернет-поддержка и сервисы, прокси и доступ из сети организации.

Когда сообщения не расшифровываются даже после того, как старый ключ вернулся на место, обратитесь в поддержку оператора 1С-Отчетности или к партнёру 1С, который подключал сервис. Они видят, на какой сертификат зашифрован пакет, и могут подсказать, чей ключ нужен.

Облачная подпись

В 1С:Фреш и других облачных вариантах закрытый ключ хранится у сервиса, а расшифровку подтверждают кодом из SMS. Если код не приходит или телефон сменился, расшифровка не пройдёт — меняют номер через заявление в сервисе, а не через настройки криптопровайдера.

Обновление платформы, конфигурации и криптопровайдера

Если всё выше в порядке, причина в версиях компонентов.

Перед обновлением конфигурации сделайте резервную копию базы . Обновление структуры требует монопольного доступа, поэтому запускайте его вне рабочего времени и предупредите пользователей.

После обновления повторите проверку сертификата в настройках электронной подписи и обмен с оператором.

Как не допустить ошибку расшифровки снова

Большая часть повторов связана с заменой подписи. Несколько правил:

• 🗂️ храните старый контейнер не менее полугода после перехода на новую подпись;
• 📅 замену сертификата начинайте заранее, чтобы заявление на изменение параметров успели одобрить;
• 💽 делайте копию контейнера ключа на отдельный носитель, если сертификат это позволяет;
• 🧾 контролируйте срок лицензии КриптоПро CSP;
• 🔒 не включайте серверные криптооперации, пока ключи не перенесены на сервер;
• 👥 если подписантов несколько, договоритесь, кто и на каком компьютере получает ответы.

Частые вопросы