Диагностика сертификата электронной подписи в 1С

Встроенная проверка подписи лежит в Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования. Откройте закладку «Сертификаты», двойным щелчком войдите в нужный сертификат и нажмите кнопку «Проверить». Программа запросит пароль к контейнеру и прогонит сертификат по всем узлам: установлен ли криптопровайдер, виден ли закрытый ключ, не истёк ли срок, выстраивается ли цепочка доверия, проходит ли подписание.

Эта же кнопка снимает большинство вопросов «почему не подписывается документ». Ниже — как запустить проверку, что означает каждая строчка результата и что делать, когда одна из них горит красным.

Где настройки подписи и что показывает встроенный тест

Форма настроек открывается одинаково в «Бухгалтерии предприятия 3.0», «Зарплате и управлении персоналом 3.1», «Управлении торговлей 11». Если раздела Обмен электронными документами не видно, включите его флажком в Администрирование → Настройки программы → Обмен электронными документами — без этого закладка с сертификатами скрыта.

Внутри формы три закладки:

• 📄 Сертификаты — список подписей, установленных для организации и пользователей. Здесь карточка каждого сертификата и кнопка проверки.
• 🔐 Программы — криптопровайдеры, которые 1С нашла на компьютере (КриптоПро CSP, ViPNet CSP). Если список пуст, подписывать нечем.
• ⚙️ Дополнительно — проверка сертификата на сервере, использование облачной подписи, настройки для серверной работы.

Встроенный тест в карточке сертификата проверяет не бумажку, а всю рабочую связку. По результату видно сразу несколько вещей:

• установлен и виден ли криптопровайдер нужной версии;
• лежит ли сертификат в хранилище «Личное» и доступен ли закрытый ключ;
• не закончился ли срок действия;
• собирается ли цепочка от вашего сертификата до доверенного корня удостоверяющего центра;
• выполняется ли тестовое подписание и шифрование.

Как запустить проверку сертификата по шагам

Порядок одинаков для токена (Рутокен, eToken) и для контейнера на диске.

1. Вставьте носитель с подписью или убедитесь, что контейнер скопирован в реестр либо на диск компьютера.
2. Откройте Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования.
3. На закладке «Сертификаты» найдите свою подпись. Если её в списке нет — нажмите «Добавить» и выберите сертификат из установленных в системе.
4. Откройте карточку сертификата двойным щелчком.
5. Нажмите «Проверить». В окне отметьте галочками, что именно тестировать (как минимум — «Подписание данных»), и введите пароль к закрытому ключу.
6. Дождитесь отчёта: напротив каждой строки появится зелёная отметка или текст ошибки.

Зелёные отметки по всем строкам означают, что подпись рабочая и ею можно подписывать документы . Если хотя бы одна строка красная — остальные разделы статьи помогут её снять.

Проверять подпись стоит не только при ошибках. Прогоните тест заранее перед сдачей отчётности в последние дни срока и после любой переустановки криптопровайдера или перевыпуска сертификата — так вы не упрётесь в нерабочую подпись в самый неподходящий момент.

Срок действия и цепочка доверия

Две самые частые причины, по которым проверка не проходит, — закончившийся срок и неполная цепочка доверия.

Срок действия. Квалифицированный сертификат обычно выдают на 12–15 месяцев. Увидеть даты можно прямо в карточке сертификата в 1С (поля «Действителен с» и «по») или в Windows: откройте certmgr.msc, раздел «Личное → Сертификаты», двойной щелчок по сертификату, закладка «Общие». Если срок истёк, подпись не восстанавливается и не продлевается — её только перевыпускают в удостоверяющем центре. Подписать документ старым сертификатом задним числом нельзя.

Цепочка доверия. Ваш сертификат подписан удостоверяющим центром, а тот — вышестоящим (головным) центром. Чтобы 1С и операторы признали подпись, в системе должны стоять:

• корневой сертификат головного удостоверяющего центра;
• промежуточные сертификаты вашего УЦ;
• актуальные списки отозванных сертификатов (CRL).

Если встроенный тест пишет, что цепочку построить не удалось, а сам сертификат ещё действует, установите недостающие корневые и промежуточные сертификаты. Их выкладывает на своём сайте удостоверяющий центр, выпустивший подпись. Для подписей ФНС корневые сертификаты ставят через утилиту настройки или вручную в хранилище «Доверенные корневые центры сертификации».

Проверить, что цепочка собралась, можно без 1С. Откройте сертификат в certmgr.msc, перейдите на закладку «Путь сертификации»: если наверху стоит корневой центр, а внизу — ваш сертификат, и у всех узлов нет красных крестиков, цепочка в порядке. Красный крестик на любом узле показывает, какого именно сертификата не хватает или какой отозван.

Отдельно обратите внимание на запись о закрытом ключе. В карточке сертификата на закладке «Общие» должна быть строка о том, что для него есть закрытый ключ. Если её нет, значит в хранилище лежит только открытая часть сертификата — подписать таким нельзя, нужен контейнер с закрытым ключом с токена или с диска.

Проверка подписи на сервере в клиент-серверной базе

В файловой базе криптография всегда работает на компьютере пользователя. В клиент-серверной (когда база развёрнута на сервере 1С:Предприятия) часть операций может выполняться на стороне сервера — например, фоновое подписание и проверка документов по регламенту.

За это отвечает закладка «Дополнительно» в настройках подписи. Там есть флажки проверки и подписания на сервере. Если они включены, криптопровайдер и сертификаты должны стоять не только на рабочем месте, но и на сервере 1С:Предприятия, под той учётной записью, от имени которой запущен серверный процесс.

Отсюда частый сюрприз: у пользователя на компьютере подпись проходит тест, а регламентное задание на сервере падает с ошибкой «программа не установлена». Причина в том, что на сервере криптопровайдера нет или контейнер недоступен служебной учётной записи. Решение — поставить криптопровайдер и сертификат на сервере либо снять галочки серверных операций, если подписание нужно только интерактивно.

Проверка связи с сервисами: ЭДО и отчётность

Рабочая подпись — ещё не гарантия, что документ уйдёт адресату. Для электронного документооборота и отчётности нужна связь с серверами оператора, и её проверяют отдельно.

1С-Отчётность. Откройте Отчёты → 1С-Отчётность → Настройки (в «Бухгалтерии» и «Зарплате» путь совпадает). Там есть автоматическая проверка настроек документооборота: программа соединяется с приёмными шлюзами ФНС, СФР, Росстата и проверяет, что подпись и каналы связи работают. Удобно прогонять её перед первой отправкой отчёта с нового рабочего места.

Электронный документооборот с контрагентами. В разделе Продажи → Электронные документы или Покупки → Электронные документы (в зависимости от того, кто отправитель) настройки обмена проверяют соединение с оператором ЭДО. Если подпись проходит встроенный тест, а документы «зависают» в статусе отправки, причина чаще в настройках профиля ЭДО или в недоступности оператора, а не в самой подписи.

Если организация работает с машиночитаемой доверенностью (МЧД), её формат задаёт ФНС, а не оператор. Подпись сотрудника при этом должна сопровождаться действующей доверенностью, иначе документ отклонят на стороне получателя, хотя сам сертификат проверку в 1С пройдёт.

Частые ошибки проверки и как их снять

Соберём типовые сообщения теста и быстрые действия по ним. Текст ошибки может немного отличаться по версии криптопровайдера, но смысл тот же.

Отдельно про пароль: если подпись раньше работала, а теперь просит пароль, которого вы не знаете, — пароль задавали при выпуске контейнера. Его нельзя «сбросить» из 1С; восстановить доступ можно только перевыпуском подписи. Пустой пароль тоже встречается: иногда контейнер создаётся без пароля, тогда поле оставляют незаполненным.

Ещё одна неочевидная причина — несколько копий одного сертификата в хранилище. Если в списке «Личное» лежат две записи с одинаковым сертификатом, 1С может подхватить ту, у которой нет привязки к закрытому ключу. Удалите лишнюю копию в certmgr.msc и оставьте одну, рядом с которой есть пометка о доступном закрытом ключе.

Обновление криптопровайдера и расширения

Подпись, которая вчера работала, иногда перестаёт проходить проверку после обновления Windows, браузера или самой платформы. Причина почти всегда в устаревших компонентах криптографии.

Что держать в актуальном состоянии:

• 🔧 Криптопровайдер (КриптоПро CSP или ViPNet CSP) — ставьте версию не ниже той, что поддерживает ваш браузер и платформу. Свежие сборки КриптоПро дружат с новыми версиями Windows Server и десктопных систем.
• 🧩 Расширение для работы с криптографией — компонента 1С для тонкого и веб-клиента. Обновляется через Администрирование → Интернет-поддержка и сервисы либо при запросе программы.
• 🌐 КриптоПро ЭЦП Browser plug-in — нужен для подписания в браузере. После обновления браузера плагин иногда приходится заново разрешать в его настройках.
• 📜 Списки отзыва (CRL) — обновляются автоматически, но при закрытом доступе в интернет могут устареть, и тогда цепочка доверия перестаёт строиться.

После обновления любого из этих компонентов перезапустите 1С и снова нажмите «Проверить» — программа заново опросит криптографию. Отдельную перезагрузку компьютера делайте, если провайдер просит её сам: часть библиотек подхватывается только после перезапуска системы.

Частые вопросы