Как подключить электронную подпись к базе 1С 8.3

Электронная подпись подключается в разделе Администрирование → Обмен электронными документами по ссылке «Настройки электронной подписи и шифрования». Но прежде чем 1С увидит сертификат, его закрытый ключ должен лежать в системе, а на компьютере — стоять криптопровайдер (чаще всего КриптоПро CSP). Пропустите один из этих шагов — и подпись либо не появится в списке, либо выдаст ошибку в момент отправки.

Разберём настройку по порядку: что подготовить, как установить сертификат с токена или из контейнера, как связать его с 1С и что делать, когда подписание падает с ошибкой. Пути и названия даны для типовых конфигураций на платформе 8.3 с интерфейсом «Такси» (БП 3.0, ЗУП 3.1, УТ 11, 1С:Отчётность).

Что подготовить до подключения подписи

Подпись в 1С — это не отдельная программа внутри базы, а связка из трёх вещей: сам сертификат, его закрытый ключ и криптопровайдер, который умеет с этим ключом работать. Соберите всё заранее.

• 🔑 Сертификат квалифицированной подписи (КЭП). Руководитель организации и ИП получают его в удостоверяющем центре ФНС, сотрудники подписывают личной подписью физлица вместе с машиночитаемой доверенностью (МЧД).
• 💾 Носитель закрытого ключа. Обычно это токен — Рутокен или JaCarta. Реже ключ хранят в реестре Windows, но для КЭП это небезопасно.
• 🧩 Криптопровайдер. КриптоПро CSP или ViPNet CSP — программа, которая выполняет само криптопреобразование. Без неё 1С не подпишет ничего.
• 📜 Цепочка доверия. Корневой сертификат удостоверяющего центра и промежуточные сертификаты. Без них подпись установится, но будет считаться недоверенной.
• 🪪 Лицензия на криптопровайдер. КриптоПро CSP после пробного периода требует лицензионного ключа. Многие удостоверяющие центры выдают встроенную в токен лицензию — но если её нет, после окончания пробы подписание остановится.

Важная тонкость: сертификат выпускается под конкретный криптопровайдер. Если КЭП сделана под КриптоПро, то и ставить нужно КриптоПро — поставить вместо неё ViPNet и ждать, что ключ заработает, не получится. Уточните тип провайдера в своём удостоверяющем центре до установки.

Установка сертификата и закрытого ключа в Windows

Сначала система, потом 1С. Пока Windows не «видит» личный сертификат с привязанным закрытым ключом, в базе он не появится.

Если ключ на токене, установка идёт через криптопровайдер:

1. Вставьте токен в USB-порт и дождитесь, пока он определится.
2. Откройте Пуск → КриптоПро CSP, перейдите на вкладку Сервис.
3. Нажмите Просмотреть сертификаты в контейнере и выберите контейнер с токена.
4. В открывшейся карточке сертификата нажмите Установить — он попадёт в хранилище «Личные» текущего пользователя.

Для корневого сертификата УЦ используйте Установить личный сертификат или импортируйте его в хранилище «Доверенные корневые центры сертификации» вручную. Без корневого сертификата УЦ подпись будет формироваться, но проверка её на стороне контрагента или оператора отчётности выдаст «нет доверия».

Проверить, что всё встало правильно, проще всего там же, в КриптоПро: на вкладке Сервис → Просмотреть сертификаты в контейнере сертификат должен открываться, а в его свойствах — быть строка «Есть закрытый ключ для этого сертификата».

Настройка криптопровайдера, который увидит 1С

1С не шифрует сама — она обращается к криптопровайдеру через стандартный интерфейс Windows. Поэтому задача на этом шаге одна: убедиться, что 1С видит установленную КриптоПро и ту же версию, что стоит в системе.

В настройках подписи (путь ниже, в следующем разделе) есть вкладка «Программы» — это список криптопровайдеров, с которыми работает база. Если КриптоПро установлена, но в списке не отмечена как доступная:

• нажмите кнопку проверки рядом с программой — 1С опросит систему и покажет статус;
• сверьте разрядность: 32-битный клиент 1С и 64-битная КриптоПро работают, но проблемы бывают при смешанных сборках — ставьте криптопровайдер, рекомендованный для вашей платформы;
• после установки или обновления КриптоПро перезапустите 1С, иначе она продолжит видеть старое состояние;
• проверьте, что лицензия криптопровайдера действует. В КриптоПро CSP срок лицензии виден на вкладке Общие. Истёкшая лицензия — частая причина, когда вчера подпись работала, а сегодня нет, хотя в 1С ничего не меняли.

Если на компьютере несколько пользователей или это терминальный сервер , помните: лицензия КриптоПро и установленный сертификат привязаны к сеансу и профилю. То, что провайдер «виден в системе», ещё не значит, что он доступен конкретному пользователю 1С.

Для веб-клиента и тонкого клиента криптография выполняется на той машине, где нажата кнопка «Подписать». Значит, криптопровайдер и сертификат нужны на компьютере пользователя, а для браузера — ещё и расширение КриптоПро для работы с подписью. На сервере 1С отдельно — только если подпись ставится фоново, без участия человека (см. раздел про контейнер).

Как подключить сертификат в 1С 8.3: пошагово

Теперь связываем установленный сертификат с базой. Порядок одинаков для БП 3.0, ЗУП 3.1 и УТ 11 — за подсистему подписи отвечает общая библиотека.

1. Откройте Администрирование → Обмен электронными документами.
2. Включите флажок использования электронной подписи, затем перейдите по ссылке «Настройки электронной подписи и шифрования».
3. На вкладке «Сертификаты» нажмите Добавить → Из установленных на компьютере.
4. Выберите нужный сертификат из списка личных — 1С подтянет организацию и срок действия.
5. Укажите, для чего он будет использоваться (подписание, шифрование), и запишите.

После этого сертификат доступен в документах: в формах ЭДО, в 1С:Отчётности и в печатных формах с подписью появляется кнопка подписания, а программа при отправке попросит ввести PIN-код контейнера.

Для 1С:Отчётности есть отдельный помощник подключения — он проходит те же шаги (проверка криптопровайдера, выбор сертификата, отправка заявления оператору) в режиме мастера. Запускается из Отчёты → 1С-Отчётность → Настройки.

Доступ к контейнеру закрытого ключа: права и PIN

Самая частая причина «подпись есть, а подписать не могу» — не настроен доступ к контейнеру закрытого ключа.

PIN-код токена. При каждом подписании КриптоПро запрашивает PIN контейнера. Чтобы не вводить его постоянно, в карточке контейнера можно сохранить PIN в системе — но делайте это только на личном, защищённом компьютере, не на общем терминальном сервере.

Права пользователя Windows. Закрытый ключ в реестре или профиле доступен только тому пользователю, под которым установлен. Другой человек на том же ПК его не увидит. На терминальном сервере каждому пользователю ключ устанавливают отдельно.

Серверное (фоновое) подписание. Если подпись должна ставиться автоматически — например, регламентным заданием, — криптопровайдер ставится на сервере 1С, а контейнер должен быть доступен учётной записи службы сервера (USR1CV8 или та, под которой запущена служба 1C:Enterprise 8.3 Server Agent). Это отдельная, более тонкая настройка: ключ переносят в реестр и выдают права на ветку контейнеров служебной учётке.

Резервная копия контейнера. Если ключ выпущен не на защищённом токене, а в виде копируемого контейнера, сделайте его копию через КриптоПро CSP → Сервис → Скопировать. Потеря единственного контейнера означает перевыпуск сертификата заново. Копию храните на отдельном защищённом носителе, а не рядом с рабочим.

Что делать с типичными ошибками подписания

Ошибки при подписании почти всегда сводятся к одному из четырёх: нет криптопровайдера, нет доверия к УЦ, недоступен закрытый ключ или не стоит расширение в браузере.

Отдельная ловушка — истёкший или отозванный сертификат УЦ. Даже если ваш личный сертификат в порядке, но корневой сертификат удостоверяющего центра устарел, подпись перестанет проходить проверку. В этом случае обновите корневые сертификаты УЦ, а не личный.

Особенности в разных конфигурациях и у тонкого клиента

Механизм подписи один и тот же во всех типовых конфигурациях на БСП, но точка входа и сценарии немного отличаются.

• БП 3.0 и УТ 11. Подпись настраивается из Администрирование → Обмен электронными документами, используется в ЭДО и печати документов.
• ЗУП 3.1. Тот же путь; подпись нужна для отчётности в СФР (бывший ФСС; переименован с 2023 года) и кадрового ЭДО.
• 1С:Отчётность. Свой мастер настройки с отправкой заявления оператору — удобнее для первичного подключения к сдаче отчётности.

Ключевое различие не между конфигурациями, а между типами клиента. В толстом клиенте криптография работает «из коробки». В тонком и веб-клиенте всё исполняется на машине пользователя, поэтому чаще всего проблемы возникают именно здесь: не поставили расширение для браузера, не установили сертификат под нужным пользователем на терминальном сервере.

Если вы работаете через опубликованную на веб-сервере базу или через облако, сертификат и криптопровайдер всё равно остаются на локальном компьютере — в облако закрытый ключ не передаётся.

Продление и перевыпуск сертификата

Сертификат не продлевается «поверх» — выпускается новый, со своим сроком. Начинайте заранее, за 2–3 недели до окончания, чтобы не остановить отправку документов.

1. Выпустите новый сертификат в удостоверяющем центре (для руководителя и ИП — в УЦ ФНС).
2. Установите его в систему так же, как первый (Просмотреть сертификаты в контейнере → Установить).
3. В 1С добавьте новый сертификат: Настройки электронной подписи и шифрования → Сертификаты → Добавить.
4. Старый сертификат не удаляйте сразу — он нужен для проверки ранее подписанных документов. Просто перестаньте использовать его для новых подписей.

Частые вопросы