Замена электронной подписи в 1С при истечении сертификата
Содержание
Поменять ЭЦП в 1С — это установить новый сертификат в хранилище компьютера и перепривязать его в программе: Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования, вкладка «Сертификаты», кнопка «Добавить». Старый сертификат не удаляют до тех пор, пока не убедятся, что обмен и отчётность работают на новом.
Чаще всего замена нужна, когда у квалифицированной электронной подписи (КЭП, в обиходе — ЭЦП) истекает срок: сертификат выдаётся на 12–15 месяцев, и перед датой окончания его перевыпускают. Реже причина другая — сменился руководитель, поменялись реквизиты организации или подпись скомпрометирована. Порядок действий в 1С при этом один и тот же.
Инструкция относится к 1С:Бухгалтерии 8.3 и другим типовым конфигурациям на управляемых формах (интерфейс «Такси»), где подпись хранится в общей подсистеме БСП. Пути меню в УТ, ЗУП и КА аналогичны.
С чего начать: токен, КриптоПро и проверка сертификата
До того как трогать настройки 1С, новый сертификат должен быть установлен в операционной системе и читаться криптопровайдером.
Что нужно подготовить:
- 🔑 Носитель с новым ключом — Рутокен, JaCarta или флешка с контейнером закрытого ключа. Вставьте его в тот компьютер, с которого работаете в 1С.
- 🛡️ Криптопровайдер — чаще всего КриптоПро CSP. Проверьте, что лицензия на него активна: истёкшая лицензия КриптоПро — отдельная от срока сертификата проблема, но проявляется похоже.
- 📄 Корневые сертификаты удостоверяющего центра, выпустившего подпись. Для подписей, полученных в УЦ ФНС, цепочка строится до головного УЦ Минцифры.
Установите личный сертификат. В КриптоПро CSP это Сервис → Установить личный сертификат либо Сервис → Просмотреть сертификаты в контейнере с последующей установкой. Главное — чтобы сертификат встал в хранилище «Личные» и был привязан к контейнеру закрытого ключа, иначе 1С увидит его, но подписать не сможет.
Коротко о том, где обычно хранится ключ:
- Защищённый токен (Рутокен, JaCarta) — предпочтительный вариант. Ключ не извлекается с носителя, подпись выполняется внутри него. Для подписей руководителя организации из УЦ ФНС это фактически обязательный формат.
- Флешка или реестр Windows — старый способ, ключ лежит файлом. Менее безопасен; для новых подписей от него постепенно отказываются.
Если у нового сертификата другой удостоверяющий центр, заранее обновите корневые и промежуточные сертификаты. Подпись, выпущенная в УЦ ФНС, и подпись сотрудника из коммерческого УЦ строят цепочку доверия по-разному — старые корневые сертификаты для нового ключа могут не подойти.
Проверить готовность можно до входа в 1С: откройте сертификат в хранилище Windows и убедитесь, что внизу есть строка «Есть закрытый ключ для этого сертификата». Нет строки — значит, привязки к контейнеру нет.
Пока новый сертификат не действует по дате (срок начинается позже), не удаляйте старый и не меняйте настройки обмена — иначе останетесь без рабочей подписи.
Как добавить новый сертификат в настройки 1С
Когда сертификат установлен в системе, его регистрируют в программе.
- Откройте
Администрирование → Обмен электронными документами. - Разверните группу «Настройки электронной подписи и шифрования» и перейдите на вкладку «Сертификаты».
- Нажмите «Добавить» → «Из установленных на компьютере».
- В списке выберите новый сертификат (ориентируйтесь на срок действия и ФИО владельца — старый и новый будут видны оба).
- Укажите пользователя 1С, от имени которого подпись будет применяться, и сохраните.
После добавления карточка сертификата покажет владельца, организацию и период действия. Если программа не нашла криптопровайдер, на вкладке «Программы» проверьте, что КриптоПро CSP определился автоматически; при необходимости добавьте его вручную.
Старый сертификат оставьте в списке. Пометьте его как недействующий только после того, как отправите хотя бы один документ и одну форму отчётности с новой подписью.
Если в базе ведётся несколько организаций или подписывают разные сотрудники, в списке сертификатов будут несколько записей. Проверьте, что новый сертификат привязан именно к нужной организации и к тому пользователю 1С, который будет им подписывать. Частая путаница при смене руководителя: сертификат добавили, но в настройках обмена для организации остался указан прежний владелец — тогда подписание идёт по старой записи.
Когда причина замены — не истечение срока, а компрометация ключа или смена директора, старый сертификат важно именно пометить недействующим, а не просто оставить рядом. Это исключит случайную подпись отозванным ключом.
Как перепривязать подпись в 1С-Отчётности
Отдельно настраивается сдача отчётности. 1С-Отчётность хранит свой список сертификатов, и новую подпись туда нужно внести явно.
Откройте Отчёты → 1С-Отчётность и перейдите в настройки документооборота (кнопка «Настройки» в списке отчётов, раздел с параметрами обмена). Там указывается, каким сертификатом подписываются отправляемые декларации и расчёты.
Возможны два сценария:
- Плановый перевыпуск через оператора. Если подпись и подключение к 1С-Отчётности оформлены на одного оператора (например, через сервис «1С-Отчётность»), замену проще проводить через заявление на продление. В списке заявлений создаётся заявление с новым сертификатом, после его одобрения оператором новый ключ подхватывается автоматически.
- Внешняя подпись. Если КЭП получена в УЦ ФНС или другом удостоверяющем центре и используется «как есть», в настройках обмена просто выбирается новый сертификат из добавленных ранее.
Отправлять отчётность в ФНС, СФР (бывший ФСС, с 2023 года — Социальный фонд России) и Росстат можно только квалифицированной подписью. Неквалифицированная для госорганов не подходит.
После смены сертификата отправьте тестовый запрос — например, запрос на сверку с бюджетом или выписку операций по расчётам с ФНС. Успешный ответ подтверждает, что новая подпись принята на стороне приёмного комплекса.
Отдельно стоит помнить про МЧД — машиночитаемую доверенность. Если отчётность сдаёт не руководитель, а сотрудник или представитель по своей подписи, к ней прикладывается доверенность в формате ФНС. При замене подписи сотрудника проверьте, что действующая МЧД оформлена на владельца нового сертификата и загружена туда, где её ждёт приёмный комплекс. Сам оператор ЭДО формат доверенности не задаёт — он определён ФНС.
Если подключение к 1С-Отчётности оформлялось через заявление, не создавайте новое с нуля при плановой замене: в списке заявлений есть операция продления, которая переносит реквизиты подключения и меняет только сертификат. Новое заявление «с чистого листа» может потребовать повторной идентификации и затянуть сроки.
Нужно ли переподписывать уже созданные документы
Короткий ответ зависит от того, где находится документ.
| Состояние документа | Нужно ли переподписывать |
|---|---|
| Уже отправлен и подписан старой КЭП | Нет. Подпись остаётся валидной на момент подписания |
| Создан, но ещё не подписан и не отправлен | Да, подпишите новым сертификатом |
| В статусе «Ожидается подпись», подписан частично | Да, оставшиеся экземпляры подписывайте новым ключом |
| Черновик в ЭДО | Да, при отправке будет применён текущий сертификат |
Важный момент: подпись удостоверяет документ на дату подписания, а не на дату просмотра. Если счёт-фактура или акт был подписан, пока старый сертификат действовал, он сохраняет силу и после его истечения. Перевыпуск КЭП не аннулирует ранее подписанные документы.
Переподписывать нужно только то, что ещё не ушло контрагенту или в госорган. В ЭДО такие документы обычно висят в статусе ожидания — откройте их и выполните подписание заново; программа подставит действующий сертификат.
Есть нюанс по видам документов. Счета-фактуры и УПД по закону требуют именно квалифицированной подписи — заменить её на неквалифицированную нельзя. А вот обычную первичку (акты, накладные, договоры) по соглашению сторон допустимо подписывать и неквалифицированной подписью, если такой порядок закреплён между контрагентами. При замене КЭП это ничего не меняет в уже обменянных документах, но влияет на то, какой подписью вы продолжите работать дальше.
Разбор типовых ошибок при смене подписи
Большинство сбоев после замены ЭЦП связано не с 1С, а с криптографией на компьютере. Ниже — как отличить причины по тексту сообщения.
Сервис → Просмотреть сертификаты в контейнере в КриптоПро CSP.Если 1С вообще не показывает новый сертификат в списке «Из установленных на компьютере», проблема на уровне системы: сертификат не в хранилище «Личные» или не виден текущему пользователю Windows. Установите его заново от того же пользователя, под которым запущена 1С.
При работе через сервер приложений и терминал подпись должна читаться на той машине, где физически вставлен носитель, или где проброшен токен. Сертификат, установленный на локальном ПК, не виден на терминальном сервере автоматически.
Ещё одна частая причина «новой» ошибки сразу после замены — кэш. Если 1С продолжает ссылаться на старый сертификат даже после его смены в настройках, закройте программу полностью и зайдите заново; при работе через браузер помогает очистка кэша и повторный вход. Переустанавливать из-за этого криптографию не нужно — сначала простой перезапуск.
Особенности замены ЭЦП в веб-клиенте и облаке
В тонком клиенте на локальном компьютере криптография работает напрямую через установленный КриптоПро CSP. В браузере и облачных версиях (например, 1cfresh) добавляется промежуточный слой.
Чтобы подпись работала в веб-клиенте, на компьютере должны быть установлены:
- 🧩 Расширение для работы с криптографией — дополнение к браузеру, через которое веб-клиент обращается к локальному криптопровайдеру.
- ⚙️ КриптоПро CSP и, для ряда браузеров, плагин КриптоПро ЭЦP Browser plug-in.
- 🔌 Внешняя компонента 1С для криптографии — обычно устанавливается при первом обращении к подписи, достаточно согласиться на установку.
Порядок добавления самого сертификата в настройках 1С остаётся прежним. Разница в том, что при первом подписании новым ключом браузер может повторно запросить разрешение на доступ к криптографии — это нормально, разрешите.
Если организация работает в облаке по модели аренды, носитель с ключом всё равно остаётся физически у вас: токен вставляется в локальный компьютер, а расширение браузера передаёт запрос на подпись туда. Загружать закрытый ключ в облако не нужно и небезопасно.
Отдельно проверьте версию расширения и плагина. После смены подписи сама по себе ошибка «не удалось выполнить подпись» в браузере нередко связана не с сертификатом, а с устаревшим расширением или отключённым плагином в настройках браузера. Включите его в списке дополнений и обновите до актуальной версии — это быстрее, чем разбирать криптографию.
Работа в веб-клиенте по подписи ничем не отличается для разных типовых конфигураций: добавление сертификата и выбор его в настройках обмена выполняются одинаково и в Бухгалтерии, и в УТ, и в ЗУП. Меняется только раздел, из которого вы заходите в документооборот.