Новая подпись вместо просроченной: что сделать в КриптоПро, 1С-Отчетности и ЭДО

Обновление сертификата в 1С идёт в три шага. Сначала новый сертификат ставят в криптопровайдер (КриптоПро CSP или ViPNet CSP). Затем добавляют в программу: Администрирование → Обмен электронными документами → Электронная подпись и шифрование, вкладка «Сертификаты», Добавить → Из установленных на компьютере. Последний шаг — сообщить о замене сервисам, которые работают с подписью: 1С-Отчетности заявлением на изменение параметров подключения и учётной записи 1С:ЭДО.

Путь зависит от того, кто выпустил сертификат. Руководителю и ИП новый сертификат дают в УЦ ФНС или у его доверенного лица — в 1С его только регистрируют. Если сертификат сотруднику выпускали через 1С-Отчетность, программа сама предложит заявление на продление, и всё делается без выхода из базы. Для клиент-серверной базы с подписанием на сервере сертификат дополнительно ставят на сервер 1С.

Когда сертификату в 1С нужна замена

Сертификат квалифицированной подписи действует ограниченный срок. У сертификатов УЦ ФНС это, как правило, 15 месяцев. После этой даты подписать отчёт или документ ЭДО им нельзя: программа выдаст ошибку проверки.

Поводы для замены:

• ⏳ закончился срок действия — самая частая причина;
• 👤 сменился руководитель — сертификат выпущен на человека, новому директору нужен свой;
• 🏢 изменились реквизиты — наименование организации, ИНН, КПП в сертификате должны совпадать с данными в 1С и у оператора;
• 🔑 утерян или скомпрометирован ключ — сломался токен, уволился сотрудник с доступом к паролю; старый сертификат отзывают;
• 🔄 переход на другой носитель или криптопровайдер — например, с реестра на токен.

Какие сертификаты бывают в 1С и что из них обновлять

Под словом «сертификат» в 1С прячутся разные вещи. Обновлять приходится не все.

Личный сертификат — главный. Сертификаты получателей 1С-Отчетность обновляет при обмене с сервером оператора, вручную их трогать не нужно. С корневыми сложнее: если на компьютере нет сертификата головного УЦ, новая подпись не пройдёт проверку, хотя сама по себе она исправна.

Что подготовить перед заменой сертификата

До того как открывать 1С, проверьте несколько вещей. Они снимают большую часть ошибок, которые иначе всплывут посреди сдачи отчёта.

Отдельно про последний отправленный отчёт. Ответы ФНС шифруются на сертификат, который зарегистрирован у оператора. Если заменить сертификат, пока по старому отчёту не пришли квитанции, расшифровать их получится только старым ключом. Поэтому старый контейнер не удаляйте ещё несколько месяцев после замены.

Как обновить сертификат электронной подписи в 1С пошагово

Порядок одинаков для Бухгалтерии 3.0, ЗУП 3.1 и УТ 11: механизм электронной подписи у них общий. Различаются только пункты меню, откуда открываются настройки (в ЗУП и УТ раздел Администрирование тоже есть).

Шаг 1. Установите сертификат в КриптоПро

Сертификат с токена или из файла нужно поместить в личное хранилище пользователя Windows.

1. Вставьте токен.
2. Откройте КриптоПро CSP → вкладка «Сервис» → «Просмотреть сертификаты в контейнере».
3. Нажмите Обзор, выберите контейнер нового ключа, затем Далее.
4. В окне сертификата нажмите Установить. Сертификат попадёт в хранилище «Личное».

В новых версиях КриптоПро то же делается в утилите «Инструменты КриптоПро» на вкладке «Сертификаты». Если сертификат пришёл отдельным файлом .cer, используйте кнопку Установить личный сертификат и укажите контейнер вручную.

На Linux контейнеры и установку проверяют из терминала:

# список контейнеров
/opt/cprocsp/bin/amd64/csptest -keyset -enum_cont -verifycontext -fqcn
# установить сертификат из контейнера в личное хранилище
/opt/cprocsp/bin/amd64/certmgr -inst -store uMy -cont '\\.\Aktiv Rutoken lite 00\имя_контейнера'
# проверить, что сертификат появился
/opt/cprocsp/bin/amd64/certmgr -list -store uMy

Имя контейнера берите из вывода первой команды целиком, вместе с префиксом считывателя.

Шаг 2. Добавьте новый сертификат в 1С

1. Откройте Администрирование → Обмен электронными документами → Электронная подпись и шифрование.
2. Перейдите на вкладку «Сертификаты».
3. Нажмите Добавить → Из установленных на компьютере.
4. Выберите новый сертификат — ориентируйтесь на дату окончания действия, у старого и нового одинаковое ФИО.
5. Введите PIN-код или пароль и нажмите Проверить, затем Добавить.

Программа сама выполнит проверки: есть ли сертификат в хранилище, доступен ли закрытый ключ, проходит ли тестовое подписание и шифрование. Все пункты должны быть зелёными. В карточке сертификата укажите пользователя 1С, который будет им подписывать, и организацию.

Шаг 3. Замените сертификат в 1С-Отчетности

Добавленный в программу сертификат ещё не известен оператору. Пока его не зарегистрировали, отчёты уходят со старым или не уходят вовсе.

1. Откройте Отчеты → 1С-Отчетность → Регламентированные отчеты.
2. Найдите в журнале список заявлений и создайте заявление на изменение параметров подключения.
3. Укажите причину — смена сертификата — и выберите новый сертификат из списка.
4. Подпишите и отправьте заявление.

Когда оператор одобрит заявление, программа предложит завершить настройку: сертификат пропишется в учётной записи документооборота. Состояние заявления видно в том же журнале.

Шаг 4. Привяжите сертификат к учётной записи 1С:ЭДО

1. Откройте Администрирование → Обмен электронными документами → Учетные записи ЭДО (в старых релизах — «Профили настроек ЭДО»).
2. Откройте учётную запись организации.
3. На вкладке с сертификатами добавьте новый сертификат.
4. Выполните тест настроек.

Старый сертификат из учётной записи удалите только после того, как новый прошёл тест. Документы, подписанные раньше, останутся проверяемыми: подпись хранится вместе с документом.

Как обновить сертификаты в клиент-серверном варианте 1С

В файловой базе и в клиент-серверной базе с подписанием на клиенте ничего дополнительно делать не нужно. Подпись выполняется на компьютере пользователя, где стоит КриптоПро и токен.

Другое дело, когда в настройках электронной подписи включены проверка подписей или подписание на сервере. Тогда криптопровайдер работает на сервере 1С, и новый сертификат нужно поставить туда.

Что сделать на сервере:

1. Узнайте, под какой учётной записью работает служба агента сервера 1С. По умолчанию это USR1CV8, но администраторы часто меняют её на доменную.
2. Скопируйте контейнер ключа на сервер (в реестр или на подключённый носитель) и установите сертификат в личное хранилище именно этого пользователя. Сертификат, установленный под администратором, служба не увидит.
3. Убедитесь, что лицензия КриптоПро на сервере действующая: для сервера нужна серверная лицензия.
4. Поставьте на сервер корневые сертификаты УЦ и проверьте, что сервер выходит в интернет к спискам отзыва.
5. В 1С откройте карточку сертификата и нажмите Проверить — проверки на сервере показываются отдельной группой.

Установить сертификат от имени служебного пользователя проще всего из командной строки, открытой под этим пользователем:

runas /user:USR1CV8 cmd

В открывшемся окне запустите КриптоПро CSP или «Инструменты КриптоПро» и выполните установку из контейнера, как в шаге 1. Сертификат попадёт в хранилище служебного пользователя. Если пароль служебного пользователя неизвестен, обратитесь к администратору сервера: менять его самостоятельно нельзя, служба 1С перестанет запускаться.

Ошибки после замены сертификата и что с ними делать

В первый день работы с новой подписью обычно всплывает одно из этих сообщений. Нажмите на нужное, чтобы увидеть причину и решение.

Если ни одна подсказка не подошла, откройте карточку сертификата в 1С и нажмите Проверить. Текст ошибки под непройденным пунктом точнее любого общего описания — его и стоит отправить в поддержку 1С-Отчетности или администратору.

Как не пропустить срок: контроль и автоматизация

Сертификаты заканчиваются в самый неудобный момент — накануне сдачи НДС или 6-НДФЛ. Несколько способов узнать об этом заранее.

Средствами 1С. 1С-Отчетность заранее предупреждает об окончании срока сертификата, зарегистрированного у оператора. Список всех сертификатов с датами виден в настройках электронной подписи на вкладке «Сертификаты» — колонку «Действителен до» удобно отсортировать.

Скриптом в Windows. На компьютерах с КриптоПро сертификаты ГОСТ видны в стандартном хранилище Windows. Этот скрипт PowerShell покажет те, что истекают в ближайшие 30 дней:

$limit = (Get-Date).AddDays(30)
Get-ChildItem Cert:\CurrentUser\My |
  Where-Object { $_.NotAfter -lt $limit -and $_.NotAfter -gt (Get-Date) } |
  Select-Object Subject, NotAfter |
  Sort-Object NotAfter

Если повесить скрипт в планировщик заданий и отправлять результат на почту, администратор узнает о сроках без участия бухгалтерии. Для сервера 1С запускайте его от имени пользователя службы.

Организационно. Заведите общую таблицу: владелец, организация, носитель, дата окончания, где используется (1С-Отчетность, ЭДО, банк, госпорталы). Один сертификат часто работает в трёх-четырёх системах, и обновить его в 1С мало — клиент-банк и личные кабинеты потребуют своей регистрации.

Частые вопросы