Сертификат электронной подписи в 1С 8.3: от КриптоПро до первой подписанной отправки

Чтобы подгрузить ЭЦП в 1С 8.3, сначала установите сертификат в личное хранилище Windows через КриптоПро CSP, а потом добавьте его в программу: в 1С:Бухгалтерии 3.0 это Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования, вкладка «Сертификаты», кнопка Добавить. После выбора сертификата введите пароль (PIN-код токена) и нажмите Проверить — все пункты проверки должны стать зелёными.

Частое заблуждение — что 1С «сама читает» флешку или токен. Нет: программа работает только через установленный на компьютере криптопровайдер. Если КриптоПро не видит ключ, 1С его тоже не увидит, и искать проблему в настройках программы бесполезно. Поэтому установка и настройка начинается вне 1С.

Подготовка компьютера: криптопровайдер, драйвер токена, корневые сертификаты

До открытия 1С проверьте четыре вещи. Пропуск любой из них даёт ошибку уже на этапе проверки сертификата.

• 🔐 Криптопровайдер. Установлен КриптоПро CSP или ViPNet CSP. Версия КриптоПро должна поддерживать ГОСТ Р 34.10-2012: на сертификаты по старому ГОСТ 2001 года подпись давно не выдают. Лицензия действует: у пробной версии есть ограниченный срок, после которого подпись перестаёт работать.
• 🔑 Драйвер носителя. Для Рутокен и JaCarta ставят драйвер производителя. Без него токен виден в «Диспетчере устройств», но КриптоПро не находит на нём контейнер.
• 📜 Цепочка доверия. Установлены корневой и промежуточные сертификаты удостоверяющего центра, который выдал подпись. Для подписи из УЦ ФНС это сертификаты ФНС и головного удостоверяющего центра Минцифры.
• 🕐 Дата и время. Системные часы и часовой пояс верные. Если дата на компьютере уехала, сертификат могут счесть ещё не действующим или уже просроченным.

Проверить версию и лицензию КриптоПро можно в его панели управления: вкладка «Общие» показывает версию продукта, серийный номер и срок действия лицензии.

Как убедиться, что ключ виден системе

1. Вставьте токен или флешку с контейнером.
2. Откройте КриптоПро CSP → вкладка «Сервис» → Просмотреть сертификаты в контейнере.
3. Нажмите Обзор. В списке должен появиться контейнер с вашим считывателем.
4. Выберите его и нажмите Далее. Откроются данные сертификата: владелец, срок действия, издатель.
5. Если сертификат ещё не в личном хранилище, нажмите Установить.

Если на шаге 3 список пустой, проблема в драйвере носителя или в самом контейнере. 1С трогать рано.

Включение электронной подписи и выбор программы в настройках 1С

В типовых конфигурациях на базе БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) механизм подписи сначала нужно включить. Откройте раздел администрирования и найдите группу настроек электронных документов. В Бухгалтерии 3.0 это Администрирование → Обмен электронными документами.

Там должны стоять флажки:

• ✅ «Электронная подпись и шифрование» — включает сам механизм;
• ✅ использование электронных подписей — без него команды «Подписать» в документах не появятся;
• ✅ шифрование — нужно для 1С-Отчетности и ЭДО, где файлы передаются зашифрованными.

Дальше переходите по ссылке «Настройки электронной подписи и шифрования». Это главная форма, в которой происходит вся работа с сертификатами. В ней несколько вкладок: «Сертификаты» и «Программы» (в новых релизах БСП вкладка может называться «Приложения»).

Вкладка с программами

На ней перечислены криптопровайдеры, с которыми умеет работать 1С. Актуальные релизы находят установленную программу сами. Если список пуст или нужной строки нет, добавьте её вручную:

Для ViPNet CSP имя и тип провайдера смотрите в его справке или в свойствах программы: они отличаются от КриптоПро.

Добавление сертификата в 1С: пошагово

Когда криптопровайдер видит ключ, а механизм подписи включён, добавление занимает пару минут.

1. Откройте Настройки электронной подписи и шифрования → вкладка «Сертификаты».
2. Нажмите Добавить. Выберите вариант для подписания и шифрования (вариант «только для шифрования» подходит для сертификата без закрытого ключа, например контрагента).
3. В списке появятся сертификаты из личного хранилища текущего пользователя Windows. Выберите свой — по ФИО владельца и сроку действия.
4. Введите пароль контейнера или PIN-код токена. У Рутокен заводской PIN пользователя — 12345678, если вы его не меняли.
5. Нажмите Проверить. 1С пройдёт по списку проверок: наличие сертификата, данные, программа, подписание, проверка подписи, шифрование и расшифровка.
6. Если всё зелёное, нажмите Добавить. Откроется карточка сертификата.

Что заполнить в карточке

• 👤 Пользователь. Укажите пользователя 1С, который будет подписывать. Тогда в списке выбора сертификатов этот сертификат увидит только он. Для главного бухгалтера с одной подписью это удобно, для общей подписи нескольких сотрудников — поле оставляют пустым.
• 🏢 Организация. Привязка к организации нужна, если в базе несколько юрлиц. Иначе при отправке легко выбрать подпись чужой организации.
• 🔒 Запоминание пароля. Пароль можно не вводить при каждой операции. Удобно, но небезопасно: подписать сможет любой, кто сел за этот компьютер под вашей учётной записью.

Ключ на флешке, в реестре и подпись файлов

Закрытый ключ хранится в контейнере. Где лежит контейнер, определяет, как с ним работать.

Как выглядит контейнер на флешке

На флешке это папка вида abcdefgh.000. Внутри шесть файлов: header.key, masks.key, masks2.key, name.key, primary.key, primary2.key. Если хоть одного файла нет или папка лежит не в корне флешки, КриптоПро контейнер не найдёт.

Копирование контейнера в реестр

Так делают, когда одна подпись нужна на сервере, где нет USB-порта, или чтобы не носить флешку.

1. КриптоПро CSP → «Сервис» → Скопировать.
2. Нажмите Обзор и выберите исходный контейнер на флешке.
3. Введите имя нового контейнера, например Иванов_2026_реестр.
4. В окне выбора носителя укажите «Реестр».
5. Задайте пароль на новый контейнер.
6. Затем через Просмотреть сертификаты в контейнере установите сертификат из нового контейнера в личное хранилище.

После этого в 1С добавляйте сертификат как обычно. В 64-разрядной Windows ключи КриптоПро в реестре лежат в ветке:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users\<SID пользователя>\Keys

Редактировать эту ветку руками не нужно. Знать её полезно, чтобы понять: контейнер в реестре принадлежит конкретному пользователю Windows. Другой пользователь того же компьютера его не увидит.

Подпись присоединённых файлов

Кроме отчётов и документов ЭДО, 1С подписывает файлы, прикреплённые к справочникам и документам. В списке присоединённых файлов есть команды подписания и проверки подписи. Подпись хранится вместе с файлом в базе. Её можно сохранить отдельно, файлом с расширением .p7s или .sig, чтобы отправить контрагенту, и наоборот — добавить подпись , полученную от другой стороны, из файла.

Ошибки при подключении ЭЦП и как их снять

Почти все ошибки делятся на три группы: ключ не найден, цепочка сертификатов не построена, программа криптографии не работает . Текст ошибки в 1С обычно указывает на группу.

Если проверка не проходит, а причина неясна

• 🧹 Удалите сертификат из личного хранилища и установите его заново из контейнера. Это обновляет ссылку на закрытый ключ.
• 🔁 Перезапустите 1С после установки КриптоПро или драйвера: запущенный сеанс не видит программы, поставленные после его открытия.
• 🧪 Подпишите тестовый файл средствами самого КриптоПро (через КриптоПро Tools, если он установлен). Подпись работает там, но не работает в 1С — ищите ошибку в настройках программы. Не работает и там — проблема в криптопровайдере или ключе.

Тонкий клиент, веб-клиент и работа на сервере

Где выполняется подпись, зависит от режима работы. От этого же зависит, куда ставить КриптоПро.

Тонкий клиент

Подпись выполняется на компьютере пользователя. КриптоПро, драйвер токена и сертификат ставятся туда же. Это самый простой вариант, и всё, что описано выше, относится именно к нему.

Если тонкий клиент запущен на терминальном сервере (RDP, RemoteApp), «компьютер пользователя» — это сервер. КриптоПро нужен на сервере, а сертификат — в хранилище пользователя на сервере. Токен с рабочего места пробрасывают в сессию через перенаправление смарт-карт в настройках подключения к удалённому рабочему столу. Альтернатива — скопировать контейнер в реестр сервера под этим пользователем.

Веб-клиент

В браузере 1С работает с криптографией через своё расширение. При первой попытке подписать программа предложит установить расширение для работы с криптографией и файлами — согласитесь и перезапустите браузер. КриптоПро при этом всё равно нужен на компьютере пользователя: расширение лишь передаёт ему команды.

Подпись на сервере 1С

В настройках электронной подписи есть флажки, разрешающие проверять подписи и подписывать на сервере 1С. Тогда КриптоПро ставят на сервер, где работают рабочие процессы, а ключ — в хранилище пользователя, от имени которого запущена служба сервера 1С. Вариант подходит для автоматической обработки: например, когда входящие документы ЭДО проверяются фоновым заданием. Для ручной подписи бухгалтером проще оставить подпись на клиенте.

Частые вопросы