Рутокен в 1С 8.3: драйвер, КриптоПро, сертификат и проверка подписи

Чтобы подключить Рутокен к 1С, нужны три вещи в таком порядке: драйвер Рутокен в Windows, криптопровайдер КриптоПро CSP с установленным личным сертификатом и настройка в самой программе: Администрирование → Общие настройки → Электронная подпись и шифрование. Там сертификат добавляют из установленных на компьютере и нажимают Проверить. Если все проверки зелёные — токен подключён.

Частое заблуждение: «вставил Рутокен в USB — и 1С его увидит». Нет. 1С не работает с токеном напрямую. Она обращается к криптопровайдеру, а тот уже читает ключ с носителя. Поэтому почти все ошибки подключения лечатся не в 1С, а в Windows и КриптоПро.

Что проверить до начала: модель токена, права и лицензии

Пять минут на подготовку снимают половину будущих проблем.

• 🔑 Модель носителя. На корпусе или в Панели управления Рутокен видно: Рутокен ЭЦП 2.0, ЭЦП 3.0, Lite или S. Для 1С подходят все, если на носителе лежит контейнер КриптоПро.
• 👤 PIN-код пользователя. Заводской PIN пользователя — 12345678, администратора — 87654321. Если токен выдал удостоверяющий центр или ФНС, PIN могли сменить — уточните у того, кто выдавал.
• 🛡 Права администратора Windows. Драйвер и КриптоПро ставятся только с ними.
• 📜 Лицензия КриптоПро CSP. После установки дают пробный период 90 дней. Потом нужен серийный номер, иначе подпись перестанет работать.
• 🧩 Платформа и конфигурация. Описание ниже — для платформы 8.3 с интерфейсом «Такси» и типовых БП 3.0, ЗУП 3.1, УТ 11. Механизм подписи у них общий (из Библиотеки стандартных подсистем), поэтому шаги совпадают.

Шаг 1. Драйверы Рутокен: как установить и убедиться, что токен виден

Драйверы скачивают с официального сайта производителя «Актив» (rutoken.ru), раздел поддержки. Пакет называется «Драйверы Рутокен для Windows». Брать установщики со сторонних сайтов не стоит.

1. Извлеките токен из USB-порта.
2. Запустите установщик от имени администратора и пройдите мастер.
3. Вставьте токен. Светодиод должен загореться.
4. Откройте Панель управления Windows → Панель управления Рутокен.
5. На вкладке «Администрирование» нажмите «Ввести PIN-код» и введите PIN пользователя. Если вход прошёл — носитель исправен и драйвер работает.

Что делать, если Панель управления Рутокен не видит токен:

• 🔌 переставьте его в другой порт, лучше напрямую в системный блок, без USB-хаба и удлинителя;
• 🔄 перезапустите службу Смарт-карта (SCardSvr) в services.msc;
• 🧹 удалите драйвер через «Программы и компоненты», перезагрузите компьютер и поставьте свежую версию.

Шаг 2. КриптоПро CSP: установка и настройка считывателя

КриптоПро CSP — тот самый посредник между 1С и Рутокеном. Без него программа покажет ошибку «Не установлена программа электронной подписи».

1. Скачайте дистрибутив КриптоПро CSP с сайта cryptopro.ru (нужна регистрация). Для актуальных сертификатов ГОСТ Р 34.10-2012 берите версию 5.0.
2. Установите с правами администратора. Серийный номер можно ввести сразу или позже.
3. Перезагрузите компьютер.
4. Откройте Пуск → КриптоПро → КриптоПро CSP, вкладка «Оборудование», кнопка «Настроить считыватели».
5. В списке должен быть пункт «Все считыватели смарт-карт». Если его нет — нажмите «Добавить» и выберите его в мастере.

Проверьте лицензию на вкладке «Общие»: там указан срок действия. Если стоит дата в прошлом, подпись в 1С падать будет с ошибкой о лицензии, хотя всё остальное настроено верно.

Шаг 3. Установка сертификата с Рутокена в личное хранилище Windows

1С ищет сертификаты в хранилище «Личное» текущего пользователя Windows. Сертификат, который лежит только в контейнере на токене, программа не увидит.

Сертификат пользователя

1. В КриптоПро CSP откройте вкладку «Сервис».
2. Нажмите «Просмотреть сертификаты в контейнере».
3. Кнопкой «Обзор» выберите контейнер на Рутокене. Имя считывателя обычно начинается с Aktiv Rutoken.
4. Нажмите «Далее» и посмотрите данные: владелец, срок действия.
5. Нажмите «Установить». Мастер поместит сертификат в «Личное» и свяжет его с закрытым ключом на токене.

Если в контейнере сертификата нет (бывает при выдаче в отдельном файле .cer), используйте кнопку «Установить личный сертификат» на той же вкладке. Укажите файл, затем контейнер на токене.

Корневой сертификат удостоверяющего центра

Без цепочки доверия 1С покажет ошибку проверки сертификата. Корневой и промежуточный сертификаты УЦ скачивают с сайта самого центра. Для подписи, выданной ФНС, это сертификаты УЦ ФНС России и головного УЦ Минцифры.

1. Дважды щёлкните по файлу .cer.
2. «Установить сертификат » → «Поместить все сертификаты в следующее хранилище».
3. Для корневого выберите «Доверенные корневые центры сертификации», для промежуточного — «Промежуточные центры сертификации».

Проверить результат можно в certmgr.msc: в «Личное → Сертификаты» должен быть ваш сертификат со значком ключа. Значок ключа и надпись «Есть закрытый ключ» в свойствах — признак, что связь с токеном есть.

Шаг 4. Как подключить Рутокен в программе 1С

Теперь сама 1С. Путь одинаковый в БП 3.0, ЗУП 3.1 и УТ 11.

В старых релизах этот блок находился в разделе обмена электронными документами. Если в «Общих настройках» его нет — обновите конфигурацию.

Включаем подпись и выбираем программу

1. Установите флажок «Электронная подпись» (и «Шифрование», если оно нужно).
2. Откройте ссылку «Настройки электронной подписи и шифрования».
3. Перейдите на вкладку «Программы». В списке должен быть КриптоПро CSP. Если строки нет — нажмите «Добавить» и выберите программу из списка установленных.

Добавляем сертификат

1. На вкладке «Сертификаты» нажмите «Добавить» → «Из установленных на компьютере».
2. Выберите свой сертификат. Если список пуст — 1С не видит сертификат в «Личном», вернитесь к шагу 3.
3. Укажите пользователя 1С, которому принадлежит подпись. Иначе в документах программа не предложит этот сертификат.
4. Введите PIN токена и нажмите «Проверить».

1С выполняет серию проверок: наличие сертификата в хранилище, данные сертификата, подписание тестовых данных, проверка подписи, шифрование и расшифровка. Все пункты должны пройти. Сертификат сохраняется в справочнике, и с этого момента им можно подписывать документы .

Для сервиса 1С-Отчётность сертификат подключается через заявление на подключение или в настройках учётной записи документооборота. Но сам сертификат программа берёт из того же справочника, поэтому шаги 1–3 обязательны и здесь.

Ошибки при подключении Рутокена к 1С и что с ними делать

Если «Проверить» показывает красные пункты, ищите текст ошибки ниже.

Сетевая база, сервер 1С и терминал: где должен стоять токен

Главное правило: подписывает тот компьютер, где выполняется криптография. По умолчанию это клиент — компьютер пользователя.

Файловая база в сети

Токен, драйвер и КриптоПро нужны на каждом компьютере, с которого подписывают. На компьютере, где лежит папка с базой, ничего ставить не надо. Сертификат устанавливается в «Личное» у каждого пользователя отдельно.

Клиент-серверный вариант

В настройках ЭП есть флажки, которые переносят подписание и проверку подписи на сервер 1С. Для Рутокена, который вставлен в компьютер бухгалтера, подписание на сервере не подходит: сервер не видит USB-порт пользователя.

Схема работы для типичного офиса:

• ✍️ Подписание — на клиенте. Токен у пользователя, КриптоПро на его компьютере.
• ✅ Проверка подписи — можно на сервере. Тогда КриптоПро ставят и на сервер 1С, вместе с корневыми сертификатами УЦ в хранилище компьютера.

Если подписывать на сервере всё же нужно (например, роботом по расписанию), токен подключают к серверу физически или через USB-over-IP. Сертификат тогда устанавливают под учётной записью, от которой работает служба сервера 1С (по умолчанию USR1CV8).

Терминальный сервер и RDP

1С на терминале работает на сервере, а токен — в руке пользователя. Чтобы они встретились, включают перенаправление:

1. В клиенте «Подключение к удалённому рабочему столу» (mstsc) нажмите «Показать параметры».
2. Вкладка «Локальные ресурсы» → «Подробнее».
3. Отметьте «Смарт-карты». Сохраните подключение.

На терминальном сервере ставят драйверы Рутокен и КриптоПро CSP с серверной лицензией. На компьютере пользователя тоже нужен драйвер Рутокен, иначе Windows не передаст носитель в сеанс. Проверка простая: в сеансе RDP откройте КриптоПро, вкладку «Сервис» → «Просмотреть сертификаты в контейнере» → «Обзор». Если контейнер на Рутокене виден — перенаправление работает.

Веб-клиент

В браузере 1С просит установить расширение для работы с криптографией. Кроме него, на компьютере всё равно нужны драйвер Рутокен и КриптоПро CSP. Расширение лишь даёт браузеру доступ к криптопровайдеру.

Когда подпись перевыпускают или меняют компьютер

Подключение Рутокена к 1С не разовая задача. Её повторяют в трёх случаях:

• 🔁 Новый сертификат на том же токене. Повторите шаг 3 и добавьте новый сертификат в 1С. Старую запись в справочнике не удаляйте: ею подписаны прошлые документы, и проверка их подписей опирается на неё.
• 💻 Новый компьютер. Драйвер, КриптоПро с лицензией, установка сертификата в «Личное». В 1С сертификат уже есть в справочнике, достаточно нажать «Проверить» на новом месте.
• 👥 Другой сотрудник. Сертификат принадлежит конкретному человеку. Передавать токен коллеге нельзя: подпись по закону 63-ФЗ подтверждает действие владельца. Новому сотруднику выпускают свою подпись.

Частые вопросы