Электронная подпись в 1С 8.3 с нуля: от криптопровайдера до первой подписанной отправки

Чтобы настроить электронную подпись в 1С 8.3, нужны три вещи: криптопровайдер на компьютере (КриптоПро CSP или ViPNet CSP), установленный в личное хранилище сертификат с закрытым ключом и включённая подпись в самой программе. В БП 3.0 подпись включают в Администрирование → Обмен электронными документами, а сертификат добавляют по ссылке «Настройки электронной подписи и шифрования» → вкладка «Сертификаты» → «Добавить».

Порядок важен: сначала Windows и криптопровайдер, потом 1С. Если 1С не видит сертификат, почти всегда проблема ниже уровнем — в CSP, драйвере токена или цепочке доверия. Механизм подписи один для БП 3.0, ЗУП 3.1, УТ 11 и других типовых конфигураций на БСП, различается только раздел, где он включается.

Подготовка: какой криптопровайдер выбрать и как его установить

1С сама не шифрует и не подписывает по ГОСТ. Она вызывает внешнюю программу — криптопровайдер. Без него в списке программ 1С будет пусто, а при подписании появится сообщение, что программа электронной подписи не установлена.

Порядок установки КриптоПро CSP

1. Скачайте дистрибутив с сайта разработчика под свою Windows (нужна регистрация).
2. Запустите установщик от имени администратора, выберите «Установить (рекомендуется)».
3. После установки откройте Пуск → КриптоПро → КриптоПро CSP и на вкладке «Общие» введите серийный номер лицензии. Без него программа отработает пробный срок и перестанет подписывать.
4. Если ключ на токене, поставьте драйвер носителя: для Рутокен — «Драйверы Рутокен», для JaCarta — «Единый клиент JaCarta». Вставьте токен и убедитесь, что он виден в панели управления носителя.
5. Перезагрузите компьютер.

💡 Лицензию КриптоПро часто покупают вместе с сертификатом — она бывает встроена в сам сертификат. Тогда серийный номер можно не вводить, но такая лицензия действует только с этим сертификатом.

Если 1С работает в браузере

Для веб-клиента дополнительно нужно «Расширение для работы с 1С:Предприятием» в браузере. Без него браузерная 1С не получит доступ к криптопровайдеру на компьютере. Тонкому клиенту это расширение не нужно.

Установка сертификата и ключа в Windows

Сертификат подписи — это открытая часть. Закрытый ключ хранится в контейнере: на токене, флешке или в реестре. 1С ищет сертификат в хранилище «Личное» текущего пользователя Windows и проверяет, что к нему привязан закрытый ключ.

Установка личного сертификата из контейнера

1. Вставьте токен или флешку с ключом.
2. Откройте КриптоПро CSP, вкладка «Сервис» → «Просмотреть сертификаты в контейнере».
3. Нажмите «Обзор», выберите контейнер, «ОК» → «Далее».
4. Проверьте ФИО, организацию и срок действия, нажмите «Установить».

Так сертификат попадёт в «Личное» уже связанным с ключом. Если устанавливать файл .cer двойным щелчком, связи с контейнером не будет, и 1С покажет сертификат без возможности подписи.

Корневые сертификаты и списки отзыва

Подпись проверяется по цепочке: ваш сертификат → сертификат удостоверяющего центра → корневой сертификат. Если в цепочке не хватает звена, 1С не сможет проверить сертификат.

• 🏛 Для КЭП руководителя, выпущенной в УЦ ФНС, нужен сертификат УЦ ФНС и корневой сертификат Минцифры (головного УЦ).
• 🏢 Для сертификата коммерческого УЦ нужен сертификат этого УЦ. Его выкладывают на сайте центра.
• 📄 Корневой сертификат ставьте в хранилище «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации».
• 🔄 Списки отзыва (CRL) обычно скачиваются автоматически по адресу из сертификата. На компьютере без интернета их устанавливают вручную.

Проверить цепочку просто: откройте сертификат в «Личном» хранилище (certmgr.msc), вкладка «Путь сертификации». Красный крестик на любом уровне — это та самая причина, по которой 1С откажется работать.

Настройка электронной подписи в программе 1С 8.3

Когда сертификат стоит в Windows, переходите к 1С. Права на настройку есть у пользователя с ролью полных прав или администратора.

Шаг 1. Включить подпись в конфигурации

Установите флажок «Электронная подпись». Флажок «Шифрование» нужен, если будете отправлять зашифрованные файлы, — например, для отчётности. Рядом появится ссылка «Настройки электронной подписи и шифрования».

Шаг 2. Проверить программу на вкладке «Программы»

Откройте настройки, перейдите на вкладку «Программы». Здесь должен быть ваш криптопровайдер со статусом без ошибок. Если строки нет — нажмите «Добавить» и выберите программу из списка; если программа стоит, но помечена ошибкой, значит, 1С не видит её на компьютере.

Шаг 3. Добавить сертификат

1. Вкладка «Сертификаты» → «Добавить» → «Из установленных на компьютере».
2. Выберите нужный сертификат из списка. Ориентируйтесь на ФИО, организацию и дату окончания.
3. Введите пароль: для токена это PIN-код (у нового Рутокен по умолчанию 12345678, у JaCarta зависит от модели), для контейнера в реестре или на флешке — пароль, заданный при выпуске.
4. Нажмите «Проверить», затем «Добавить».

После этого сертификат появится в справочнике, и его можно указать в учётной записи 1С-Отчетности, в настройках ЭДО или для подписи документов.

Шаг 4. Указать, кто может пользоваться сертификатом

В карточке сертификата есть поле «Пользователь». Если указать конкретного пользователя 1С, сертификат будет доступен только ему. Пустое поле — сертификат видят все. Для подписи директора лучше указать одного пользователя: так бухгалтер не подпишет случайно чужим ключом.

Клиент-серверная база: подпись на сервере

В настройках есть флажки для проверки подписей и подписания на сервере 1С. Не включайте их без необходимости. Для работы на сервере криптопровайдер с лицензией должен стоять на сервере 1С, а сертификат — в хранилище пользователя, от имени которого работает служба (по умолчанию USR1CV8). Если этого нет, подпись с флажком «на сервере» падает, хотя на компьютере пользователя всё настроено верно.

Проверка подписи и подключения

Кнопка «Проверить» в карточке сертификата — главный инструмент диагностики. 1С последовательно выполняет несколько проверок и показывает результат по каждой: наличие сертификата в личном хранилище, корректность данных сертификата, подписание тестовых данных, проверку созданной подписи, шифрование и расшифровку (если шифрование включено).

Зелёные отметки по всем пунктам значат, что подпись работает на этом компьютере. Красная отметка ведёт к расшифровке ошибки — по ней видно, на каком уровне сбой: в 1С, в криптопровайдере или в сертификате.

Пробная подпись в реальном сценарии

После проверки сертификата сделайте одно практическое действие, чтобы убедиться, что всё связано:

• 📨 1С-Отчетность: в учётной записи документооборота выберите сертификат и нажмите «Тест настроек». Проверка покажет доступ к серверу оператора, криптографию и сертификаты.
• 🔁 1С-ЭДО: в учётной записи ЭДО укажите сертификат, затем подпишите и отправьте тестовый документ контрагенту, с которым договорились о проверке.
• 📎 Произвольный файл: если в конфигурации есть присоединённые файлы, подпишите файл в карточке документа и посмотрите, что подпись появилась в списке.

💡 Проверяйте на каждом компьютере отдельно. Настройки криптографии в 1С частично хранятся у пользователя, а сертификат и CSP живут в Windows. Работает у главбуха — не значит, что заработает на ноутбуке директора.

Частые ошибки при настройке подписи и как их устранить

Самые частые сообщения и что за ними стоит. Тексты в 1С могут слегка отличаться по релизам, но суть одна.

Ошибки, которые делают до появления сообщений

• ❌ Установили сертификат «под администратором», а в 1С работают под другой учётной записью Windows. Хранилище «Личное» у каждого пользователя своё.
• ❌ Подключились к 1С через RDP и не пробросили токен. На терминальном сервере носитель должен быть виден в сеансе пользователя, иначе ключа нет.
• ❌ Добавили в 1С сертификат с истёкшим сроком. 1С его покажет, но подписать им нельзя — проверяйте дату до добавления.
• ❌ Подписывают документы ЭДО КЭП сотрудника без доверенности. С 2022 года сотрудник подписывает от имени организации своей подписью физлица вместе с машиночитаемой доверенностью (МЧД).

Безопасность и обслуживание ключей подписи

Электронная подпись по 63-ФЗ приравнена к собственноручной. Кто держит токен и знает PIN, тот подписывает от имени владельца. Поэтому настройка не заканчивается на зелёных галочках.

Как хранить ключ

• 🔐 Держите ключ на токене, а не в реестре или на обычной флешке. Неизвлекаемый ключ на токене нельзя скопировать.
• 🔑 Смените PIN по умолчанию сразу после получения токена.
• 🚫 Не включайте сохранение пароля в 1С на общих компьютерах и в терминальном сервере.
• 👤 Привязывайте сертификат к конкретному пользователю 1С (поле «Пользователь» в карточке).
• 🗄 Извлекайте токен, когда отходите от компьютера. Это неудобно, но надёжнее любых настроек.

Срок действия и продление

Сертификат КЭП обычно выпускают на 12 или 15 месяцев. Заранее, за 2–4 недели до окончания, закажите новый. В 1С это видно сразу: в списке сертификатов отображается дата окончания, а программа предупреждает о скором истечении.

После получения нового сертификата:

1. Установите его в Windows так же, как первый.
2. Добавьте в 1С через «Добавить» → «Из установленных на компьютере».
3. Замените сертификат в учётной записи 1С-Отчетности и в учётной записи ЭДО.
4. Старый сертификат не удаляйте сразу: им можно проверить ранее подписанные документы. Пометьте его как отозванный или просто оставьте в списке.

Переезд на новый компьютер

Если ключ на токене, переносить нечего: на новом компьютере повторите установку CSP, драйвера носителя, личного и корневых сертификатов. В 1С сертификат уже есть в справочнике — достаточно нажать «Проверить» в его карточке.

Если контейнер лежит в реестре или на флешке, его копируют средствами КриптоПро: вкладка «Сервис» → «Скопировать». Копирование возможно, только если при выпуске ключ отметили как экспортируемый. Неэкспортируемый ключ перенести нельзя — тогда заказывают новый сертификат.

Увольнение сотрудника

При увольнении подписанта отзовите его МЧД и, если подпись выпускалась за счёт организации, — сам сертификат в удостоверяющем центре. В 1С снимите сертификат с учётных записей ЭДО и отчётности и уберите доступ у пользователя.

Пока сертификат не отозван в УЦ, им можно подписать документ, даже если человек уже не работает в компании.

Частые вопросы