Сертификат электронной подписи в 1С 8.3: от криптопровайдера до первой подписи

Чтобы подгрузить сертификат в 1С, сначала установите его в личное хранилище Windows через криптопровайдер (КриптоПро CSP или ViPNet CSP), затем в 1С откройте Администрирование → Общие настройки → Электронная подпись и шифрование, перейдите по ссылке настроек и на вкладке «Сертификаты» нажмите «Добавить» — «Из установленных на компьютере». После выбора сертификата и ввода пароля к ключу программа сама проверит, что им можно подписывать.

Путь одинаков для типовых конфигураций на БСП: Бухгалтерия 3.0, ЗУП 3.1, УТ 11, КА и ERP. Отличаются только места, где сертификат потом используется: 1С-Отчетность, ЭДО, ЕГАИС, маркировка.В веб-клиенте и облаке есть своя специфика: расширение браузера и облачная подпись без токена.

Что подготовить на компьютере до загрузки сертификата

1С не умеет работать с ГОСТовой подписью сама. Все криптографические операции выполняет криптопровайдер, а 1С лишь вызывает его. Поэтому большая часть проблем с сертификатом решается вне 1С.

Перед стартом проверьте:

• 🔐 Криптопровайдер установлен и лицензирован. КриптоПро CSP версии 5.0 или ViPNet CSP 4.x. Пробный период КриптоПро — 90 дней, потом нужна лицензия.
• 🔑 Носитель с ключом подключён. Рутокен, JaCarta или папка-контейнер на диске. Для токена нужен драйвер производителя.
• 📜 Сертификат установлен в хранилище «Личное» и связан с закрытым ключом.
• 🏛 Корневой и промежуточный сертификаты удостоверяющего центра лежат в «Доверенных корневых центрах» и «Промежуточных центрах».
• 🕒 Срок действия сертификата не истёк, дата и время на компьютере верные.

Как установить сертификат в «Личное» через КриптоПро

1. Подключите токен и откройте Пуск → КриптоПро → КриптоПро CSP.
2. Перейдите на вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».
3. Кнопкой «Обзор» выберите контейнер на носителе и нажмите «Далее».
4. В окне сертификата нажмите «Установить» и подтвердите.

Если сертификат пришёл отдельным файлом .cer, на той же вкладке используйте «Установить личный сертификат» и укажите контейнер с ключом. Так сертификат свяжется с закрытым ключом.

Проверить результат можно оснасткой certmgr.msc: сертификат должен лежать в папке Личное → Сертификаты, а в его свойствах — строка «Есть закрытый ключ, соответствующий этому сертификату».

Корневые сертификаты удостоверяющего центра

Без цепочки доверия 1С покажет сертификат, но проверка подписи упадёт. Скачайте корневой и промежуточный сертификаты с сайта своего УЦ и установите их вручную, явно выбрав хранилище:

Не ставьте корневые сертификаты автоматическим выбором хранилища — Windows часто кладёт их не туда, и цепочка не строится.

Включение электронной подписи в настройках 1С

В новой базе функция подписи бывает выключена. Тогда ни кнопок «Подписать», ни списка сертификатов вы не увидите.

1. Откройте Администрирование → Общие настройки.
2. Найдите группу «Электронная подпись и шифрование».
3. Установите флажок «Электронные подписи». Если нужно шифровать файлы — отдельно флажок «Шифрование».
4. Нажмите ссылку настроек электронной подписи и шифрования под флажками.

Откроется форма с вкладками. Нам нужны две: «Программы» и «Сертификаты».

Вкладка «Программы»: связка 1С с криптопровайдером

Здесь перечислены программы, через которые 1С подписывает. В актуальных релизах БСП список заполняется сам: 1С находит установленный КриптоПро или ViPNet и показывает их как доступные.

Если строка с вашим провайдером не появилась или горит ошибкой, проверьте тип провайдера. Для ГОСТовых сертификатов нужны:

Почти все сертификаты для отчётности и ЭДО сейчас выпускаются по ГОСТ 2012 с ключом 256 бит, то есть тип 80.

Добавление сертификата в 1С и привязка к пользователю

Теперь сам момент, ради которого всё затевалось.

1. В форме настроек откройте вкладку «Сертификаты».
2. Нажмите «Добавить» и выберите вариант «Из установленных на компьютере».
3. В списке выберите нужный сертификат. Ориентируйтесь на владельца, организацию и дату окончания.
4. Укажите организацию и пользователя 1С, которому принадлежит подпись.
5. Введите пароль (ПИН-код) к ключу. Для Рутокена по умолчанию это 12345678, если его не меняли.
6. Нажмите «Проверить» и дождитесь результатов, затем «Добавить».

Если сертификата нет в списке выбора — значит, он не попал в «Личное» или не связан с ключом. Вернитесь к установке через КриптоПро.

Что проверяет 1С при добавлении

Проверка проходит по нескольким пунктам. Зелёные отметки должны стоять у всех:

• ✅ сертификат найден в личном хранилище и есть закрытый ключ;
• ✅ данные сертификата корректны, срок действия не вышел;
• ✅ тестовое подписание прошло;
• ✅ подпись проверена (здесь нужна цепочка до корневого УЦ);
• ✅ шифрование и расшифровка — если включено шифрование.

Красный пункт кликабелен: 1С покажет текст ошибки от криптопровайдера. По нему и ищите причину (см. раздел про ошибки).

Поле «Пользователь»: зачем его заполнять

Привязка к пользователю 1С решает, кто увидит сертификат при подписании. Если поле пустое, сертификат доступен всем, кто входит в базу на этом компьютере. Для КЭП директора это плохая идея: подписать декларацию сможет любой бухгалтер.

Поэтому правило простое: личный сертификат — личному пользователю.

Несколько сертификатов в одной базе: как 1С выбирает нужный

В базе с несколькими организациями сертификатов быстро становится пять-десять. Директор, главбух, кадровик, отдельная подпись для ЕГАИС. Путаница начинается, когда при подписании 1С предлагает длинный список.

Как сократить выбор:

• 👤 Привязка к пользователю. При подписании показываются только сертификаты текущего пользователя.
• 🏢 Привязка к организации. Если документ относится к организации, 1С предлагает сертификаты именно этой организации.
• 🗂 Старые сертификаты — в архив. Не удаляйте их: подписи прошлых лет должны проверяться. Снимите отметку использования или пометьте как неиспользуемые — так они пропадут из списка выбора.

Если после фильтров остаётся один подходящий сертификат, 1С подставит его сама. Пользователю останется ввести пароль.

Отчётность и ЭДО — свои настройки сертификата

Учётная запись 1С-Отчетности и профиль настроек ЭДО хранят ссылку на конкретный сертификат. Когда сертификат меняется (перевыпуск раз в год), его нужно:

1. Добавить новый сертификат в общий список, как описано выше.
2. Указать его в учётной записи документооборота или в профиле ЭДО.
3. Для 1С-Отчетности отправить заявление на изменение параметров подключения — без этого ФНС и СФР будут ждать старый сертификат.

Мини-пример: три организации и пять подписей

В базе ООО «Альфа», ООО «Бета» и ИП. Сертификатов пять: два директора, ИП, главбух с МЧД на обе ООО и кадровик для СЭДО.

Настраиваем так:

1. Сертификаты директоров — каждый к своей организации и своему пользователю.
2. Сертификат главбуха — к пользователю главбуха. Организацию не указываем, ведь он подписывает за обе.
3. Сертификат кадровика — к его пользователю и одной организации.

В итоге директор «Альфы» при подписании видит одну строку, главбух — одну, кадровик — одну. Выбирать вручную никому не приходится.

Пароль: запоминать или нет

В окне подписания есть флажок запоминания пароля до конца сеанса. Это удобно при пакетном подписании: 30 документов ЭДО подряд без повторного ввода ПИН-кода.

Сеанс закрыли — пароль забыт. Это безопаснее, чем сохранять ПИН-код в настройках криптопровайдера, где он хранится постоянно.

Ошибки при загрузке сертификата и подписании

Сообщения при подгрузке сертификата почти всегда приходят от криптопровайдера, а 1С лишь пересказывает их. Разбирайте ошибку по её тексту.

Что ещё проверить, если ошибки нет, а подпись не идёт

• 🕒 Время на компьютере. Сдвиг даже на сутки делает сертификат «ещё не действующим» или «просроченным».
• 🔁 Отзыв сертификата. Если сертификат перевыпущен, старый попадает в список отозванных — проверка подписи им падает.
• 🖥 Подписание на сервере. В настройках ЭП можно включить проверку подписей и подписание на сервере 1С. Тогда криптопровайдер и сертификаты нужны на сервере, а не только у пользователя. Не включайте эти режимы, если на сервере нет КриптоПро.
• 🧹 Кэш хранилища. После переустановки CSP иногда помогает выход из 1С и повторное подключение токена.

Сертификат в веб-клиенте и облачной 1С

В браузере 1С работает иначе: подписывает не сама платформа, а расширение браузера плюс криптопровайдер на компьютере пользователя.

Веб-клиент

1. При первой попытке подписать 1С предложит установить расширение для работы с 1С:Предприятием. Согласитесь и установите его из магазина расширений браузера.
2. Установите компоненту, которую предложит браузер после расширения. Без неё расширение не достучится до КриптоПро.
3. Перезапустите браузер и откройте настройки ЭП заново.
4. Добавьте сертификат тем же способом: «Добавить» — «Из установленных на компьютере».

Работают Chrome, Яндекс Браузер, Edge и Firefox. Сам криптопровайдер, токен и сертификат в «Личном» нужны на компьютере точно так же, как для тонкого клиента.

1С:Фреш и другие облачные сервисы

В облаке есть два варианта:

Второй вариант удобен, когда бухгалтер работает с разных компьютеров. Сертификат выпускается под сервис, подписание подтверждается кодом из SMS. Подключить облачную подпись к сертификату, уже записанному на токен, нельзя: ключ из токена в сервис не переносится, нужен новый выпуск.

Частые вопросы