Где хранятся сертификаты электронной подписи и как их проверить

Все сертификаты электронной подписи в типовых конфигурациях 1С собраны в одном справочнике: Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования, вкладка Сертификаты. Это общий список для всей базы — им пользуются и 1С-Отчётность, и 1С-ЭДО, и подписание печатных форм.

Сам закрытый ключ в этом справочнике не хранится. 1С держит только ссылку на сертификат, а ключ лежит в хранилище операционной системы или на токене (Рутокен, еТокен), и обращается к нему через криптопровайдера — КриптоПро CSP или VipNet CSP. Поэтому «найти сертификат» в 1С и «найти контейнер с ключом» в Windows — две разные операции, и ниже разберём обе.

Термин ЭЦП (электронная цифровая подпись) остался в обиходе со старого закона. Сейчас по 63-ФЗ подпись называется просто электронной (ЭП), но в поиске люди по привычке пишут ЭЦП — речь об одном и том же.

Справочник сертификатов в разделе «Администрирование»

Путь к общему списку одинаков в Бухгалтерии 3.0, ЗУП 3.1 и Управлении торговлей 11:

1. Откройте Администрирование → Обмен электронными документами.
2. Разверните группу Электронная подпись и шифрование и убедитесь, что флажок Электронные подписи включён. Без него раздел с сертификатами недоступен.
3. Перейдите по ссылке Настройки электронной подписи и шифрования.
4. Откроется форма с вкладками Сертификаты, Программы и Дополнительно.

На вкладке Сертификаты — все добавленные в базу сертификаты с владельцем, организацией и сроком действия. Отсюда их добавляют, проверяют и помечают на удаление.

Кнопка Добавить предлагает два пути:

• 📥 Из установленных на компьютере — если сертификат и ключ уже стоят в системе (установлены с токена или из файла). 1С покажет список личных сертификатов Windows, выберите нужный.
• 📝 Заявление на выпуск сертификата — оформление новой подписи через 1С-Подпись прямо из программы.

Вкладка Программы показывает, какие криптопровайдеры 1С видит в системе. Если список пуст или нужной программы нет — криптопровайдер не установлен либо установлен некорректно, и ни один сертификат работать не будет.

Криптопровайдер выбирают не произвольно: он должен совпадать с тем, на котором выпущена подпись. КриптоПро CSP и VipNet CSP несовместимы между собой — ключ, сделанный на КриптоПро, не откроется через VipNet. Поэтому перед добавлением сертификата уточните у удостоверяющего центра, на какой программе он выдан, и ставьте именно её. Держать на одной машине оба провайдера можно, но на практике это источник конфликтов, поэтому без необходимости так не делают.

На вкладке Дополнительно собраны общие настройки: проверять ли сертификаты при запуске, напоминать ли об истечении срока, разрешать ли подписание из форм документов. Здесь же включается контроль, который заранее предупредит об истекающих сертификатах — удобно, чтобы не узнать о просрочке в день сдачи отчёта.

Как выбрать сертификат пользователя для подписания

Один человек может иметь несколько сертификатов: личный, от организации, для разных сервисов. Какой из них подставится при подписании, зависит от настроек.

В 1С-Отчётности. Сертификат привязывается к настройке документооборота с контролирующими органами: Отчёты → Регламентированные отчёты → Настройки → Настройки обмена с ФНС (и аналогично по СФР, Росстату). Там указан сертификат, которым подписываются и шифруются отправления. Один раз настроили — дальше программа подставляет его сама.

При первом подключении 1С-Отчётности программа сама предложит выбрать сертификат и на его основе сформирует заявление на подключение к электронному документообороту. Если сертификат уже есть в системе — укажите его на шаге выбора, если нет — оформите через то же заявление. После одобрения оператором сертификат автоматически пропишется во все направления обмена, по которым вы подключились.

В 1С-ЭДО. Сертификат для обмена с контрагентами задаётся в профиле настроек ЭДО: Администрирование → Обмен электронными документами → Обмен с контрагентами → Учётные записи ЭДО. Там же — сертификат, которым подписываются исходящие формализованные документы и ответные подписи на входящие.

При разовом подписании печатной формы или файла 1С сама предложит выбрать сертификат из доступных и запросит пароль закрытого ключа (пин-код контейнера или токена).

Если при подписании сертификат не предлагается, проверьте по порядку:

• сертификат добавлен в справочник (вкладка Сертификаты);
• в его карточке указана та же организация, от имени которой подписываете;
• закрытый ключ доступен — токен вставлен, контейнер не удалён.

Где физически лежат сертификат и контейнер с ключом

В самой 1С файлов ключа нет. Физически хранилище зависит от того, как выпущена подпись.

Открытый сертификат ставится в хранилище Windows «Личные». Посмотреть его можно, не открывая 1С:

• Нажмите Win+R, введите certmgr.msc и откройте раздел Личные → Сертификаты. Это список всех персональных сертификатов текущего пользователя.
• Либо в КриптоПро CSP: Пуск → КриптоПро CSP → вкладка Сервис → Просмотреть сертификаты в контейнере.

Чтобы токен определялся, на компьютере должен стоять его драйвер и модуль поддержки — для Рутокена и еТокена это отдельные бесплатные комплекты с сайта производителя. Если вставленный токен не виден ни в 1С, ни в КриптоПро, в первую очередь проверяют именно драйвер, а не сертификат.

Закрытый ключ (контейнер) хранится отдельно и в одном из мест:

Контейнер в реестре КриптоПро хранится в ветке HKEY_LOCAL_MACHINE\SOFTWARE\CryptoPro\Settings\Users\{SID}\Keys (или в аналогичной ветке пользователя). Руками в реестр лезть не нужно — для копирования есть штатный инструмент: КриптоПро CSP → Сервис → Скопировать контейнер. Он перенесёт ключ на токен или флешку без потери.

Чтобы понять, какому сертификату соответствует контейнер, в том же окне КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере выберите контейнер — программа покажет привязанный к нему сертификат с ФИО и сроком. Через ту же кнопку Обзор видно список всех контейнеров, доступных на компьютере и на вставленных токенах, с понятными именами — по ним проще найти нужный ключ, чем по ветке реестра.

Отдельно стоит сказать про настройку сертификата для шифрования — она в той же форме не случайно. Подпись и шифрование используют один механизм, но по-разному: своей подписью вы заверяете документ, а для шифрования нужен открытый сертификат получателя. Поэтому, если вы обмениваетесь зашифрованными файлами с контрагентом или контролирующим органом, их сертификаты тоже добавляются в тот же справочник — но закрытый ключ к ним не нужен, шифруют публичной частью.

Как проверить срок действия сертификата в 1С

Сертификат выдаётся обычно на 12–15 месяцев, после чего перестаёт подписывать. Проверить дату можно и в программе, и в системе.

В 1С: откройте Настройки электронной подписи и шифрования → Сертификаты, двойным кликом — карточку сертификата. Срок действия указан в поле Действителен до. В списке сертификаты с истёкшим сроком 1С подсвечивает.

В Windows: в certmgr.msc откройте сертификат двойным кликом, вкладка Общие → строка «Действителен с … по …».

Полезная проверка перед квартальной отчётностью — пройтись по всем сертификатам и отсеять те, что скоро истекают:

Важно различать срок действия сертификата и срок действия лицензии КриптоПро. Это разные вещи: сертификат может быть действующим, но подписать не получится, если истекла лицензия самого криптопровайдера. Лицензию видно в окне КриптоПро CSP → вкладка Общие → Срок действия лицензии.

Диагностика ошибок при работе с сертификатами

Большинство проблем с подписанием — это не 1С, а связка «сертификат — контейнер — криптопровайдер». Разберём по симптомам.

Отдельная частая причина — отсутствие или сбой криптопровайдера. Если на вкладке Программы пусто, 1С не найдёт ни один ключ, сколько бы сертификатов ни было в справочнике. Переустановите КриптоПро CSP и перезапустите 1С.

Особенности облачной электронной подписи

Облачная подпись (например, 1С-Подпись) хранится не на вашем компьютере, а на сервере удостоверяющего центра. Токен и установленный криптопровайдер для неё не нужны — ключ никогда не покидает защищённое хранилище УЦ.

Как это выглядит в работе:

• Сертификат так же добавляется в справочник Настройки электронной подписи и шифрования, но помечается как облачный.
• При подписании вместо пин-кода от токена приходит одноразовый код подтверждения (обычно по СМС) — он и санкционирует операцию на стороне сервера.
• Подпись доступна с любого рабочего места, где есть доступ к базе: удобно, когда бухгалтер работает из нескольких офисов или из облачной 1С:Фреш.

Плюс облачной подписи — не привязана к конкретному компьютеру и токену, нечего потерять физически. Минус — для каждой операции нужен доступ к сервису и телефон для кода, и работает она только с теми сервисами, которые её поддерживают.

Отдельно про машиночитаемую доверенность (МЧД). С 2022 года сотрудник подписывает документы от имени организации не сертификатом компании, а личным сертификатом физлица плюс МЧД. Доверенность регистрируется по формату ФНС, а в 1С подключается в тех же настройках обмена — оператор ЭДО формат доверенности не задаёт, он только её передаёт.

Частые вопросы