Электронная подпись в 1С 8.3: от токена в USB-порту до первого подписанного документа

Чтобы подключить ЭЦП в 1С, нужны три вещи: криптопровайдер на компьютере (КриптоПро CSP или ViPNet CSP), сертификат, установленный в личное хранилище Windows, и включённая электронная подпись в программе. В БП 3.0 и ЗУП 3.1 это Администрирование → Общие настройки → Электронная подпись и шифрование: флажок «Электронные подписи», затем по ссылке «Настройки электронной подписи и шифрования» добавить сертификат и нажать Проверить.

Типичная картина: главбух получил новый токен в налоговой, вставил его в ноутбук, а 1С при отправке декларации пишет, что сертификат не найден. Почти всегда виноват не сам токен, а один из пропущенных шагов ниже. Порядок такой: сначала Windows и криптопровайдер, потом 1С — не наоборот.

Какой сертификат электронной подписи подходит для 1С

Для работы в 1С нужен квалифицированный сертификат (КЭП) на алгоритме ГОСТ Р 34.10-2012. Старые сертификаты на ГОСТ 2001 давно не выпускаются и не принимаются контролирующими органами.

Кому и где выпускают подпись:

• 👔 Руководитель организации и ИП — КЭП выдаёт удостоверяющий центр ФНС или его доверенные лица. Ключ записывается на сертифицированный токен (Рутокен ЭЦП 2.0/3.0, JaCarta и аналоги), который приносят с собой.
• 👩‍💼 Сотрудник (бухгалтер, кадровик) — сертификат физического лица в коммерческом аккредитованном УЦ плюс машиночитаемая доверенность (МЧД) от организации. Без МЧД подпись сотрудника за организацию не примут.
• 📨 Подпись для 1С-Отчетности — часто выпускается прямо из 1С по заявлению при подключении сервиса. Ключ тогда хранится в реестре или на флешке, а сертификат сразу привязан к учётной записи документооборота.

Что учесть при выборе носителя:

Подготовка компьютера: криптопровайдер и драйверы токена

1С не умеет подписывать сама — она вызывает установленный криптопровайдер. Поэтому первый этап проходит целиком в Windows.

Шаг 1. Установите криптопровайдер

Чаще всего это КриптоПро CSP версии 5.0. Дистрибутив берут на сайте разработчика после регистрации.

1. Запустите установщик с правами администратора.
2. Введите серийный номер. Без него КриптоПро работает в пробном режиме 90 дней, после чего подпись перестанет создаваться.
3. Перезагрузите компьютер.

Не ставьте на один компьютер одновременно КриптоПро CSP и ViPNet CSP. Два криптопровайдера конфликтуют, и подпись ломается непредсказуемо.

Шаг 2. Поставьте драйвер токена

Для Рутокена — «Драйверы Рутокен для Windows», для JaCarta — «Единый клиент JaCarta». Без драйвера Windows видит токен как неизвестное устройство, и КриптоПро не находит контейнер.

После установки откройте панель управления токена и проверьте, что носитель определился, а на нём есть ключ.

Шаг 3. Установите личный сертификат в хранилище

1. Откройте «КриптоПро CSP» → вкладка «Сервис».
2. Нажмите «Просмотреть сертификаты в контейнере» и выберите контейнер на токене.
3. В открывшемся окне нажмите «Установить».
4. Сертификат попадёт в хранилище «Личное» текущего пользователя Windows.

Этот шаг критичен: так сертификат связывается с закрытым ключом. Если просто дважды кликнуть по файлу .cer, связи не будет, и 1С выдаст ошибку об отсутствии ключа.

Шаг 4. Установите корневые и промежуточные сертификаты УЦ

Для КЭП от ФНС нужны корневой сертификат Минцифры и сертификат УЦ ФНС. Их скачивают с сайтов Минцифры и ФНС. Корневой ставят в хранилище «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации».

Проверка: откройте сертификат в Windows (Win+R → certmgr.msc → «Личное» → «Сертификаты»), вкладка «Путь сертификации». Если вся цепочка без красных крестов и внизу написано, что сертификат действителен, — Windows готова.

Подключение ЭЦП в 1С: включение и добавление сертификата

Пути в типовых конфигурациях:

Включите использование подписи

1. Откройте раздел из таблицы.
2. Установите флажок «Электронные подписи». Флажок шифрования нужен для 1С-Отчетности — включите и его.
3. Перейдите по ссылке «Настройки электронной подписи и шифрования».

Для этих настроек нужны права администратора в базе. Обычный пользователь увидит раздел, но изменить флажки не сможет.

Проверьте программу на вкладке «Программы»

1С сама находит установленные криптопровайдеры. На вкладке должны быть строки вроде «КриптоПро CSP (ГОСТ 2012/256)» и «КриптоПро CSP (ГОСТ 2012/512)». Если строка подсвечена ошибкой — провайдер не установлен или не перезагрузили компьютер после установки.

Добавьте сертификат

1. Перейдите на вкладку «Сертификаты» и нажмите «Добавить».
2. Выберите вариант добавления из установленных на компьютере.
3. В списке отметьте свой сертификат — он виден, только если установлен в «Личное» (шаг 3 выше).
4. Введите пароль (PIN-код токена) и нажмите «Добавить». Программа сразу пробует подписать тестовые данные.
5. В карточке сертификата укажите организацию и пользователя 1С, который будет им подписывать.

Привязка к пользователю важна. Если оставить поле пустым, сертификат будет доступен всем пользователям базы. Если указать не того — нужный бухгалтер не увидит подпись в списке выбора.

Подпись для 1С-Отчетности и 1С-ЭДО

Сертификат в общем списке — ещё не подключение к сервисам. Его нужно указать:

• 📊 в 1С-Отчетности — в настройках учётной записи документооборота организации;
• 📄 в 1С-ЭДО — в профиле настроек ЭДО (Администрирование → Обмен электронными документами, раздел настроек ЭДО).

Для сотрудника, который подписывает по доверенности, в те же настройки загружают МЧД.

Тестирование электронной подписи в 1С

В карточке сертификата нажмите Проверить. 1С выполнит серию проверок и покажет результат по каждой строке.

Красная строка «Подписание данных» почти всегда означает проблему с ключом: токен не вставлен, неверный PIN или сертификат установлен без привязки к контейнеру.

Боевой тест после зелёной проверки — отправить что-нибудь безопасное. В 1С-Отчетности для этого есть запрос на информационное обслуживание (ИОН) в налоговую: если ответ пришёл, подпись, шифрование и канал связи работают.

Если база работает в клиент-серверном режиме

В настройках электронной подписи можно включить проверку и создание подписи на сервере 1С. Тогда криптопровайдер нужно установить и на сервер, а сертификат — в хранилище пользователя, от имени которого запущена служба сервера 1С (по умолчанию USR1CV8).

Если такой задачи нет, оставьте подпись на клиенте: это проще и не требует доступа к серверу. Для подписания от имени конкретного бухгалтера клиентский вариант — нормальная практика.

Продление и перевыпуск сертификата ЭЦП

Сертификат КЭП действует обычно 12–15 месяцев. Срок видно в карточке сертификата в 1С, а о скором окончании программа предупреждает заранее. Начинайте замену за две-три недели: выпуск нового токена в УЦ ФНС требует личного визита.

Порядок замены:

1. Получите новый сертификат в УЦ. Для подписи 1С-Отчетности заявление на новый сертификат часто подаётся прямо из карточки текущего сертификата или из настроек учётной записи.
2. Установите его в Windows так же, как первый, — через «Установить» в КриптоПро.
3. Добавьте новый сертификат в список 1С и прогоните Проверить.
4. Замените сертификат в учётной записи 1С-Отчетности и в профиле ЭДО.
5. Укажите нового владельца, если сменился руководитель.

При смене директора сертификат прежнего руководителя нужно отозвать в УЦ, и подписывать им документы организации больше нельзя. Новый руководитель получает собственную КЭП в УЦ ФНС, а доверенности сотрудников, подписанные прежним директором, стоит перепроверить.

Ошибки подключения подписи и как их устранить

Тексты ошибок зависят от версии платформы и криптопровайдера, но смысл у них повторяется.

На терминальном сервере (RDP) токен нужно пробрасывать в сессию. Для Рутокена и JaCarta это работает через перенаправление смарт-карт в настройках подключения к удалённому рабочему столу. Если токен не пробрасывается, остаётся вариант с ключом в реестре сервера, но тогда доступ к ключу нужно строго ограничить одним пользователем.

Электронная подпись в облачной 1С и через браузер

1С:Fresh и облачные сервисы

В облаке криптопровайдер на сервере сервиса недоступен вашему токену. Варианта два:

• ☁️ Подпись в облаке сервиса. Сертификат выпускается под сервис, закрытый ключ хранится у оператора, а подписание подтверждается одноразовым кодом по SMS. На компьютер ничего ставить не нужно, но подписывать этой КЭП можно только внутри сервиса.
• 🔑 Свой токен на компьютере. Работает в тонком клиенте и в браузере. Подпись выполняется на стороне клиента, поэтому КриптоПро и драйвер токена нужны на вашем компьютере, как при обычной установке.

Работа через веб-клиент

В браузере 1С подписывает через расширение для работы с криптографией. При первой попытке подписать программа сама предложит установить расширение браузера и компонент 1С — согласитесь и перезапустите браузер.

Поддерживаются актуальные Chrome, Edge, Firefox и Яндекс Браузер. Если подпись в браузере не работает, а в тонком клиенте на этом же компьютере работает — дело в расширении: проверьте, что оно включено, и обновите браузер.

Частые вопросы об ЭЦП в 1С