Электронная подпись в 1С 8.3: подключаем сертификат от КриптоПро до успешной проверки

Чтобы установить сертификат в 1С, нужны три шага: поставить криптопровайдер (обычно КриптоПро CSP), установить личный сертификат в хранилище Windows с привязкой к закрытому ключу, а затем добавить его в программе через Администрирование → Общие настройки → Электронная подпись и шифрование. После добавления сертификат обязательно проверяют кнопкой «Проверить» в его карточке.

Типичная ситуация: бухгалтер получил новый токен в УЦ ФНС, вставил его в компьютер, а 1С при отправке отчёта пишет, что сертификатов нет. Почти всегда причина в Windows, а не в 1С. Сертификат лежит на токене, но не установлен в личное хранилище, или у системы нет корневых сертификатов удостоверяющего центра. Если пройти шаги по порядку, эти проблемы снимаются ещё до открытия базы.

Инструкция подходит для типовых конфигураций на платформе 8.3 с интерфейсом «Такси»: Бухгалтерия 3.0, ЗУП 3.1, УТ 11 и другие решения на БСП. Механизм электронной подписи у них общий, поэтому путь к настройкам одинаковый. Отличаются только места, где сервисы (отчётность, ЭДО, маркировка) выбирают уже добавленный сертификат.

Подготовка компьютера к установке сертификата: криптопровайдер, драйвер носителя, права

Без криптопровайдера 1С не умеет ни подписывать, ни проверять подпись по ГОСТ. Сама платформа криптографию по российским алгоритмам не содержит, она вызывает программу, установленную в Windows.

Что должно быть на компьютере до начала:

• 🔐 КриптоПро CSP версии 5.0 (или ViPNet CSP, если так решила организация). У КриптоПро есть пробный период, потом нужна лицензия. Серийный номер вводится в самой программе на вкладке «Общие».
• 🔑 Драйвер носителя: Рутокен, JaCarta или другой токен. Без драйвера КриптоПро не увидит контейнер на ключе.
• 📄 Файлы корневого и промежуточного сертификатов УЦ, который выпустил вашу подпись. Для подписи из УЦ ФНС это корневой сертификат Минцифры и сертификат самого УЦ ФНС. Их публикуют на официальных сайтах ведомств.
• 👤 Права локального администратора на время установки программ и корневых сертификатов.
• 🌐 Доступ в интернет без жёсткого прокси: Windows скачивает списки отзыва сертификатов (CRL) по адресам, записанным в самом сертификате.

Отдельный случай — подпись на сервере 1С. Если в настройках включены операции подписи или проверки на сервере, криптопровайдер ставят и на сервер 1С:Предприятия. Сертификат тогда должен быть доступен пользователю, от имени которого работает служба сервера (по умолчанию USR1CV8). Для обычного бухгалтера в файловой базе это не нужно.

Установка сертификата электронной подписи в хранилище Windows

Главная ошибка на этом шаге — открыть файл .cer двойным щелчком и нажать «Установить сертификат». Сертификат попадает в хранилище, но без ссылки на закрытый ключ. 1С его видит в списке, а подписать не может.

Устанавливайте личный сертификат из контейнера, а не из файла .cer. Тогда Windows запомнит, где лежит закрытый ключ.

Способ 1. Через КриптоПро CSP из контейнера

1. Вставьте токен и откройте «КриптоПро CSP» из меню «Пуск».
2. Перейдите на вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».
3. Нажмите «Обзор» и выберите контейнер на носителе. По имени считывателя видно, где лежит ключ: на токене или в реестре.
4. Нажмите «Далее». Откроются данные сертификата: владелец, издатель, срок действия.
5. Нажмите «Установить». Сертификат ляжет в хранилище «Личное» текущего пользователя Windows.

Способ 2. Из файла с поиском контейнера

Подходит, если сертификат прислали отдельным файлом, а в самом контейнере его нет. Так бывает у старых ключей и у некоторых коммерческих УЦ.

1. В КриптоПро CSP на вкладке «Сервис» нажмите «Установить личный сертификат».
2. Укажите файл .cer.
3. Отметьте автоматический поиск контейнера или выберите контейнер вручную.
4. Хранилище оставьте «Личное».

Корневые и промежуточные сертификаты удостоверяющего центра

Без них Windows не построит цепочку доверия, и 1С покажет ошибку при проверке сертификата.

Проверьте результат в оснастке certmgr.msc (запуск через Win+R). В папке «Личное → Сертификаты» должен быть ваш сертификат. В его свойствах на вкладке «Общие» внизу — надпись «Есть закрытый ключ для этого сертификата». На вкладке «Путь сертификации» цепочка должна быть без красных крестиков и с состоянием «Этот сертификат действителен».

Регистрация сертификата в программе 1С

Когда Windows сертификат видит, переходите в базу. Делать это лучше под тем пользователем 1С, который будет подписывать документы .

Включение электронной подписи в базе

1. Откройте Администрирование → Общие настройки.
2. Разверните группу «Электронная подпись и шифрование».
3. Включите флажок «Электронные подписи». Если нужно шифрование документов, включите и его.
4. Перейдите по ссылке «Настройки электронной подписи и шифрования».

Флажок включается один раз на всю базу. Если его нет или он недоступен, у вашего пользователя не хватает прав: обратитесь к администратору базы.

Добавление сертификата в справочник

1. В окне настроек откройте вкладку «Сертификаты».
2. Нажмите «Добавить» и выберите вариант добавления из установленных на компьютере.
3. В списке отметьте свой сертификат. Если его нет, включите показ всех сертификатов: возможно, он скрыт как просроченный.
4. Введите пароль (ПИН-код) носителя. Для Рутокен заводской ПИН пользователя — 12345678. Его лучше сменить сразу после получения токена.
5. Укажите организацию и пользователя, для которого предназначен сертификат.
6. Нажмите «Добавить». Программа попробует подписать тестовые данные и, если всё в порядке, сохранит сертификат в справочнике.

Где ещё выбирают сертификат после добавления

Справочник сертификатов общий для базы, но каждый сервис берёт из него сертификат в своих настройках:

• 📨 1С-Отчётность — в настройках учётной записи документооборота организации. При продлении подписи учётную запись обновляют, иначе отчёты уходят со старым сертификатом.
• 🔄 1С-ЭДО — в профиле настроек ЭДО организации. Для счетов-фактур нужна именно квалифицированная подпись.
• 🏷 Маркировка (ГИС МТ) и ЕГАИС — в настройках подключения к соответствующему сервису.

Если сертификат добавлен в справочник, но не выбран в нужном сервисе, отправка будет падать с ошибкой «нет подходящего сертификата». Это частая причина путаницы после перевыпуска подписи.

Настройка программ подписи и алгоритмов шифрования

Сертификат добавился, а подпись не проходит? Смотрите вкладку «Программы» в тех же настройках электронной подписи и шифрования. Здесь 1С хранит, какой криптопровайдер и с какими параметрами вызывать.

Обычно программа подставляет КриптоПро автоматически. Если записи нет или она с ошибкой, добавьте её вручную и сверьте параметры с алгоритмом вашего сертификата.

Алгоритм своего сертификата посмотрите в его свойствах в Windows: вкладка «Состав», поле «Открытый ключ». Квалифицированные сертификаты, которые выпускают сейчас, сделаны по ГОСТ 2012, чаще всего с ключом 256 бит. Сертификаты по ГОСТ 2001 давно не выпускаются, и если такой ещё встречается в базе, его пора заменить.

Что ещё влияет на работу подписи:

• ⚙️ Операции на клиенте или на сервере. В настройках можно включить проверку подписей и шифрование на сервере. Это имеет смысл, только если криптопровайдер установлен на сервере 1С. Для файловой базы достаточно работы на клиенте.
• 🌐 Веб-клиент и браузер. В веб-клиенте 1С попросит установить расширение для работы с криптографией. Без него программа не видит криптопровайдер компьютера.
• 🧩 Несколько криптопровайдеров. КриптоПро CSP и ViPNet CSP на одном компьютере плохо уживаются. Если второй не нужен, его удаляют.

Проверка работоспособности подписи в 1С

Добавленный сертификат проверяют сразу, а не в день сдачи отчёта.

1. В настройках электронной подписи на вкладке «Сертификаты» откройте карточку сертификата.
2. Нажмите «Проверить».
3. Введите пароль носителя.
4. Дождитесь результата по каждому пункту.

Проверка последовательно пробует: найти сертификат и закрытый ключ, проверить данные сертификата, подписать тестовые данные, проверить эту подпись, зашифровать и расшифровать. Каждый этап отмечается зелёным или красным. По ссылке рядом с красным пунктом открывается полный текст ошибки, его и стоит искать в таблице ниже.

Если включены операции на сервере, тот же набор проверок выполняется второй раз, уже на сервере. Бывает, что на клиенте всё зелёное, а на сервере красное. Это значит, что криптопровайдер или сертификат не настроены именно на сервере 1С.

Частые ошибки при установке сертификата и что с ними делать

Тексты ошибок 1С почти всегда передаёт от криптопровайдера, поэтому решение обычно лежит на стороне Windows, а не в базе.

Если ничего не помогло

• 🔍 Проверьте подпись вне 1С: подпишите любой файл через «Инструменты КриптоПро» (в КриптоПро CSP 5.0 они ставятся вместе с программой). Если и там ошибка, проблема точно не в 1С.
• 🧹 Удалите сертификат из хранилища «Личное» и из справочника 1С, затем установите и добавьте заново. Сам контейнер на токене при этом не трогайте.
• 🔄 Обновите КриптоПро CSP и драйвер токена. Старые сборки КриптоПро 4.0 плохо работают с новыми версиями Windows.
• 🆕 Обновите конфигурацию до актуального релиза. Механизм подписи в БСП регулярно дорабатывают, и часть ошибок старых релизов уже исправлена.

Частые вопросы