Замена сертификата ЭЦП в 1С 8.3 без сбоев в отчётности и ЭДО

Чтобы обновить электронную подпись в 1С, сначала установите новый сертификат на компьютер через КриптоПро CSP, а затем добавьте его в программу: Администрирование → Общие настройки → Электронная подпись и шифрование → Сертификаты → Добавить. После этого укажите новый сертификат в учётной записи 1С-Отчетности и в настройках ЭДО, иначе отчёты и документы продолжат уходить со старым ключом.

Типичная картина: подпись истекла в день сдачи декларации, а 1С пишет, что сертификат недействителен. Ниже — порядок действий, при котором замена ЭЦП занимает 15–20 минут и не ломает ни отчётность, ни обмен с контрагентами.

Когда пора обновлять электронную подпись в 1С

Сертификат квалифицированной подписи живёт ограниченный срок. У сертификатов, которые выдаёт УЦ ФНС, это 15 месяцев. У коммерческих удостоверяющих центров срок обычно такой же или 12 месяцев.

Менять подпись в 1С нужно в пяти случаях:

• ⏳ Истекает срок действия сертификата. Начинайте за 2–3 недели: новый сертификат нужно получить, установить и зарегистрировать у оператора.
• 👤 Сменился руководитель. Подпись на прежнего директора для организации больше не годится.
• 🏢 Изменились реквизиты в сертификате: наименование организации, должность, ФИО владельца.
• 🔐 Ключ скомпрометирован: токен потерян, пароль узнали посторонние, сотрудник с доступом уволился.
• 💻 Переезд на новый компьютер или сервер. Сертификат тот же, но в 1С его придётся добавить заново на новом рабочем месте.

Что подготовить до замены сертификата ЭЦП

Подготовка экономит больше времени, чем сама замена. До начала работ соберите всё в одном месте.

Где получить новый сертификат

Сотрудник с сертификатом физлица подписывает документы организации только вместе с машиночитаемой доверенностью (МЧД). Доверенность привязана к человеку — к ФИО, ИНН, СНИЛС, — а не к конкретному сертификату. Поэтому при плановой замене подписи того же сотрудника МЧД обычно перевыпускать не нужно, если не истёк срок самой доверенности.

Что проверить на компьютере

1. Лицензию КриптоПро CSP: откройте программу, вкладка «Общие», строка «Срок действия». Истёкшая лицензия даёт ошибки подписи, похожие на проблему с сертификатом.
2. Драйвер токена: Рутокен или JaCarta должны определяться в системе.
3. Версию платформы 1С: на устаревших версиях встречаются ошибки с новыми алгоритмами. Обновляйте платформу до актуальной для вашей конфигурации.
4. Права: для установки корневых сертификатов в хранилище компьютера нужны права администратора Windows.

Не удаляйте старый контейнер с ключом сразу после замены. Входящие документы, зашифрованные на старый сертификат, например требования ФНС, без него не расшифровать.

Как обновить ЭЦП в 1С 8.3: пошаговая инструкция

Порядок один для всех конфигураций на Библиотеке стандартных подсистем: Бухгалтерии 3.0, ЗУП 3.1, УТ 11, ERP, КА.

Шаг 1. Установите сертификат в личное хранилище Windows

Если подпись на токене:

1. Вставьте токен в компьютер.
2. Откройте КриптоПро CSP → вкладка «Сервис» → «Просмотреть сертификаты в контейнере».
3. Нажмите «Обзор», выберите контейнер нового ключа и нажмите «ОК».
4. В окне сертификата нажмите «Установить» и подтвердите установку в хранилище «Личное».

Если сертификат пришёл файлом .cer отдельно от ключа, используйте в той же вкладке «Сервис» команду «Установить личный сертификат» и укажите файл. КриптоПро свяжет сертификат с контейнером закрытого ключа.

Шаг 2. Установите корневые сертификаты УЦ

Для сертификатов УЦ ФНС нужна цепочка: корневой сертификат Минцифры (головной УЦ) и сертификат самого УЦ ФНС. Их скачивают с официальных сайтов ФНС и Минцифры.

Корневой ставьте в хранилище «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации». Проверить цепочку просто: откройте сертификат, вкладка «Путь сертификации» — ошибок быть не должно.

Шаг 3. Добавьте сертификат в 1С

1. Откройте Администрирование → Общие настройки, разверните группу «Электронная подпись и шифрование» и перейдите по ссылке «Настройки электронной подписи и шифрования». В старых релизах эта группа находится в разделе Администрирование → Обмен электронными документами.
2. На вкладке «Сертификаты» нажмите «Добавить» и выберите вариант для подписания и шифрования из установленных на компьютере.
3. В списке найдите новый сертификат по ФИО и дате окончания. Старый и новый часто выглядят одинаково — ориентируйтесь именно на срок действия.
4. Введите пароль (ПИН-код) ключа.
5. Заполните организацию и пользователя, которому доступен сертификат.
6. Сохраните карточку.

Программа сама запустит проверку. Если все пункты зелёные — сертификат в 1С готов.

Шаг 4. Отключите старый сертификат

Старый сертификат удалять из справочника не надо: на нём висят подписи под уже отправленными документами. Достаточно, чтобы после окончания срока его не выбирали по умолчанию. Снимите галочку запоминания пароля в старой карточке и следите, чтобы в учётных записях стоял новый.

Обновление подписи в 1С-Отчетности и 1С-ЭДО

Добавить сертификат в справочник мало. Сервисы обмена хранят ссылку на конкретный сертификат, и её надо поменять.

1С-Отчетность

Сертификат, которым подписываются отчёты, зарегистрирован у спецоператора. Новый ключ надо зарегистрировать так же.

1. Откройте Отчеты → Регламентированные отчеты, далее «Настройки» и список заявлений на подключение.
2. Создайте заявление на изменение параметров подключения и укажите причину — смену сертификата.
3. Выберите новый сертификат из установленных, проверьте реквизиты и отправьте заявление.
4. Дождитесь одобрения. Обычно это от нескольких часов до одного рабочего дня.

После одобрения программа сама подставит новый сертификат в учётную запись документооборота. Если подставила не всё, откройте учётную запись и выберите новый сертификат вручную.

1С-ЭДО

1. Откройте Администрирование → Обмен электронными документами → Настройки ЭДО, раздел учётных записей.
2. Откройте учётную запись организации и перейдите к списку сертификатов.
3. Добавьте новый сертификат и сохраните. Программа предложит подтвердить его — введите пароль.

Пока учётная запись знает только старый сертификат, документы уйдут с ошибкой подписи или вообще не подпишутся.

Особенности на сервере, в терминале и в облаке

Конфигурации на БСП ведут себя одинаково, разница — в том, где выполняется подпись.

Подпись на сервере включается в настройках электронной подписи флажками проверки и подписания на сервере. Если вы их не включали, сервер не участвует, и сертификат ставится только на рабочее место.

Ошибки при обновлении электронной подписи

Ниже — тексты, которые 1С и КриптоПро выдают чаще всего после замены сертификата.

• ❌ Набор ключей не существует — сертификат в хранилище без связи с закрытым ключом. Переустановите через КриптоПро, как в шаге 1.
• ❌ Не удалось построить цепочку сертификатов до доверенного корневого центра — нет корневого или промежуточного сертификата УЦ.
• ❌ Сертификат недействителен при новом сертификате — на компьютере неверная системная дата или 1С проверяет старый сертификат, который остался выбранным в учётной записи.
• ❌ Неправильный пароль — у нового ключа свой ПИН-код. У токенов Рутокен заводской ПИН пользователя 12345678, у JaCarta зависит от модели; если в УЦ его меняли, узнавайте там.
• ❌ «Программа электронной подписи не найдена» — в настройках 1С на вкладке «Программы» не добавлен КриптоПро CSP или он не установлен на этом компьютере.

Если не помогло

1. Закройте 1С, извлеките и снова вставьте токен.
2. В КриптоПро на вкладке «Сервис» нажмите «Протестировать» и выберите контейнер. Тест покажет, читается ли ключ вне 1С.
3. Удалите из личного хранилища Windows дубли нового сертификата и установите его заново.
4. Запустите 1С с параметром очистки кэша /ClearCache и повторите добавление.

Контроль сроков ЭЦП для администраторов

Полностью автоматически продлить квалифицированный сертификат нельзя: для руководителя нужна идентификация в УЦ. Автоматизировать можно другое — вовремя узнавать об истечении.

Список сертификатов текущего пользователя со сроком меньше 30 дней покажет PowerShell:

Get-ChildItem Cert:\CurrentUser\My |
  Where-Object { $_.NotAfter -lt (Get-Date).AddDays(30) } |
  Select-Object Subject, NotAfter

Скрипт можно поставить в планировщик заданий на терминальном сервере и отправлять результат на почту ответственного. Для просмотра хранилища без PowerShell подходит стандартная команда:

certutil -user -store My

Что ещё стоит наладить:

• 📅 Реестр подписей: владелец, УЦ, дата окончания, где установлена, в каких учётных записях 1С используется.
• 🔁 Копию контейнера ключа, если УЦ выпустил его экспортируемым. Копировать можно средствами КриптоПро на вкладке «Сервис».
• 👥 Отдельные сертификаты сотрудников с МЧД вместо одной подписи директора на всех. Увольнение одного человека не останавливает отчётность.

Как проверить ЭЦП после обновления

В карточке нового сертификата в 1С нажмите «Проверить». Программа пройдёт по пунктам: наличие сертификата в личном списке, данные сертификата, программа электронной подписи, подписание данных, проверка подписи, шифрование и расшифровка.

Лучший тест для отчётности — запрос сверки с ФНС (ИОН) из 1С-Отчетности. Ответ приходит быстро и подтверждает, что подпись и шифрование работают в обе стороны.

Частые вопросы