Установка сертификата в 1С: электронная подпись, корневые и SSL

Сертификат в 1С подключается не в самой программе, а в связке «криптопровайдер + носитель ключа + хранилище сертификатов Windows». Поэтому попытка сразу открыть справочник сертификатов в 1С и нажать «Добавить» часто упирается в пустой список: программа видит только то, что уже установлено в системе и чей закрытый ключ доступен.

Разберём три разные вещи, которые называют словом «сертификат»: сертификат электронной подписи (КЭП/ЭЦП) для подписания документов, корневые сертификаты удостоверяющего центра для построения цепочки доверия и SSL-сертификат для публикации базы по HTTPS. Для каждого — свой порядок установки. Пути в тексте приведены для конфигураций на платформе 8.3 с интерфейсом «Такси» (1С:Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11).

Какой сертификат вам нужен: КЭП, корневой или SSL

Прежде чем что-то устанавливать, определите задачу. От неё зависит и тип сертификата, и место установки.

🔹 Квалифицированная электронная подпись (КЭП, в обиходе ЭЦП) — ею подписывают отчётность, счета-фактуры, документы ЭДО. Хранится на защищённом носителе (токене), устанавливается в личное хранилище Windows и подключается в 1С.

🔹 Корневой и промежуточные сертификаты УЦ — техническая цепочка, которая подтверждает, что вашу КЭП выпустил доверенный удостоверяющий центр. Без неё подпись «не проходит проверку», хотя сам сертификат установлен.

🔹 SSL-сертификат — нужен только когда базу публикуют через веб-сервер и подключаются к ней по HTTPS. Он ставится на веб-сервер, а не в справочники 1С.

Ниже — таблица, чтобы не перепутать, где именно живёт каждый сертификат.

Что установить до добавления сертификата

КЭП не заработает, пока в системе нет криптопровайдера — программы, которая выполняет само криптографическое преобразование. 1С её не заменяет, а использует.

Проверьте и установите по порядку:

1. Криптопровайдер. Чаще всего это КриптоПро CSP или ViPNet CSP. Должен стоять ровно тот провайдер, под который выпущен ключ: контейнер от КриптоПро не откроется средствами ViPNet и наоборот.
2. Драйверы носителя. Для Рутокен, eToken, JaCarta ставятся свои драйверы и утилиты управления. Без них система не увидит токен.
3. Сам сертификат в личном хранилище. Его устанавливают из утилиты криптопровайдера (в КриптоПро — через раздел установки личного сертификата) так, чтобы он был привязан к контейнеру закрытого ключа на токене.

Как установить личный сертификат в КриптоПро

Если сертификат ещё не связан с контейнером закрытого ключа, его ставят средствами криптопровайдера. В КриптоПро CSP это раздел установки личного сертификата: указываете файл сертификата (.cer), затем контейнер закрытого ключа на токене, и провайдер связывает их в личном хранилище.

Важна именно привязка к контейнеру. Если просто дважды щёлкнуть по файлу .cer и импортировать его как обычный сертификат, закрытый ключ к нему не подтянется — и 1С такой сертификат для подписания не предложит. Поэтому установку ведут через утилиту криптопровайдера, а не через стандартный импорт Windows.

Алгоритмы подписи у квалифицированных сертификатов — отечественные (ГОСТ). Их поддерживает именно криптопровайдер; встроенными средствами Windows без него такую подпись не проверить.

Как добавить сертификат электронной подписи в 1С

Когда криптопровайдер и сертификат готовы, подключение в самой программе занимает пару минут. Путь в типовых конфигурациях одинаковый.

1. Откройте Администрирование → Обмен электронными документами.
2. Перейдите по ссылке Настройки электронной подписи и шифрования.
3. На закладке Сертификаты нажмите Добавить.
4. Выберите вариант подключения сертификата, для которого уже есть закрытый ключ (то есть установленного на компьютере), — программа предложит список доступных сертификатов из хранилища.
5. Укажите нужный сертификат, при необходимости введите владельца и назначение (подписание, шифрование).
6. Если ключ защищён паролем (pin-кодом контейнера), программа запросит его при первом подписании.

После добавления сертификат появляется в списке и доступен в документах, где есть подписание: отчётность, счета-фактуры, документы ЭДО.

Отметим развилку на четвёртом шаге. Помощник добавления обычно предлагает два пути: подключить сертификат , для которого закрытый ключ уже есть (наш случай — сертификат выпущен и установлен), либо оформить заявление на выпуск нового сертификата через оператора (например, в рамках 1С-Отчётности). Для подключения готовой КЭП выбирайте первый путь — второй запускает процедуру получения сертификата с нуля.

Отдельно про настройку, где 1С проверяет подпись. В тех же настройках электронной подписи задаётся, выполнять проверку на стороне клиента или на сервере. Для клиент-серверной базы криптопровайдер и сертификаты должны быть установлены на той машине, где идёт проверка: если проверка на сервере — на сервере 1С, а не только на рабочем месте бухгалтера.

Подпись сотрудника и машиночитаемая доверенность

С 2022 года сотрудники организации подписывают документы личной КЭП физического лица, а полномочия подтверждает машиночитаемая доверенность (МЧД). КЭП на организацию по умолчанию выпускается на руководителя в удостоверяющем центре ФНС. Это не влияет на порядок добавления сертификата в 1С — меняется лишь то, чей сертификат вы подключаете и прикладываете ли к нему доверенность.

Корневые сертификаты удостоверяющего центра: собираем цепочку доверия

Сертификат может быть установлен правильно, но подпись всё равно помечается как недоверенная. Причина — в системе нет корневого (и, возможно, промежуточного) сертификата того УЦ, который выпустил вашу КЭП. Цепочка не достраивается до доверенного корня.

Что входит в цепочку:

• 🔸 корневой сертификат головного удостоверяющего центра (Минцифры);
• 🔸 промежуточный сертификат конкретного аккредитованного УЦ (например, УЦ ФНС);
• 🔸 ваш личный сертификат КЭП.

Корневые сертификаты импортируют в хранилище Доверенные корневые центры сертификации, промежуточные — в Промежуточные центры сертификации. Сделать это можно несколькими способами:

1. Утилитой криптопровайдера — при установке личного сертификата она обычно предлагает поставить и цепочку, если корневые лежат на токене.
2. Через оснастку сертификатов Windows (certmgr.msc) — вручную импортировать файл корневого сертификата в нужное хранилище.
3. Из самой 1С — в настройках электронной подписи есть возможность установить недостающие сертификаты, когда программа их обнаруживает.

SSL-сертификат для публикации и веб-сервисов 1С

Если база опубликована через веб-сервер и к ней подключаются по защищённому протоколу, работает уже не ЭЦП, а SSL-сертификат сайта. Он шифрует канал между браузером (или тонким клиентом) и сервером. В справочники 1С такой сертификат не добавляется.

Порядок общий для веб-публикации:

1. Получите SSL-сертификат для доменного имени, по которому открывается база.
2. Установите его на веб-сервере, который публикует базу, — Apache или IIS.
3. Привяжите сертификат к сайту (в IIS — через привязку сайта к протоколу https и порту 443; в Apache — через параметры SSL в конфигурации виртуального хоста).
4. Убедитесь, что публикация базы (default.vrd) доступна именно по адресу с https.

На стороне клиента, который подключается к такой базе по HTTPS, в системе должен быть доверенный корневой сертификат того центра, что выпустил SSL. Для публичных сертификатов он обычно уже есть в хранилище Windows; для внутреннего (корпоративного) SSL корневой сертификат придётся установить на каждую клиентскую машину — иначе подключение будет ругаться на недоверенный сертификат.

Как проверить, что сертификат установлен правильно

Не ограничивайтесь тем, что сертификат появился в списке. Проверьте его до того, как понадобится срочно сдать отчёт.

В настройках электронной подписи 1С у каждого сертификата есть проверка, которая последовательно контролирует несколько условий:

• ✅ установлен ли криптопровайдер (программа работает);
• ✅ доступен ли закрытый ключ (носитель на месте, пароль подходит);
• ✅ есть ли сертификат в личном хранилище компьютера;
• ✅ построена ли цепочка до доверенного корневого центра;
• ✅ не истёк ли срок действия.

Если все пункты зелёные — сертификатом можно подписывать. Красная отметка прямо указывает, на каком шаге сбой: нет провайдера, не найден ключ, не хватает корня или истёк срок.

Для контроля именно подписания создайте любой документ, где есть подписание, и подпишите его тестово. Успешная подпись с построенной цепочкой — окончательное подтверждение.

Ошибки при добавлении сертификата и их причины

Большинство проблем при подключении сертификата сводится к одному из нескольких типовых случаев. По тексту ошибки обычно понятно, где именно разорвана связка «провайдер — ключ — цепочка».

Частые вопросы