Подключаем Рутокен к 1С: драйверы, криптопровайдер и сертификат

Чтобы 1С увидела Рутокен, недостаточно вставить его в USB. Нужны три слоя: драйверы токена, криптопровайдер с поддержкой ГОСТ и сертификат, привязанный к контейнеру на самом ключе. Если выпадает хоть один — программа либо не видит носитель, либо пишет Закрытый ключ не найден.

Ниже — порядок установки, по которому Рутокен заводится и в тонком клиенте на компьютере, и в веб-клиенте через браузер, и на терминальном сервере. Пути указаны для платформы 8.3 (интерфейс «Такси») и конфигураций на управляемых формах — «Бухгалтерия 3.0», «ЗУП 3.1», «Управление торговлей 11».

Что ставим на компьютер до запуска 1С

1С сама криптографию не выполняет — она обращается к установленному в системе криптопровайдеру, а тот уже работает с ключом на токене. Поэтому собрать окружение нужно до того, как открывать настройки подписи.

Понадобятся три компонента:

• 🔌 Драйверы Рутокен — «Панель управления Рутокен». Без них Windows видит устройство как неизвестное, а токен не появляется в списке носителей.
• 🔐 Криптопровайдер с ГОСТ — чаще всего это КриптоПро CSP. Он выполняет само подписание и шифрование по российским алгоритмам. Лицензия на провайдер — отдельная и обязательная, бессрочная или на год.
• 📄 Сертификат — его либо уже записали в удостоверяющем центре при выпуске, либо вы устанавливаете его из контейнера на токене.

Проверьте разрядность: криптопровайдер и драйверы ставьте под ту же версию Windows, под которой работает 1С. На Windows Server 2016 и новее всё перечисленное устанавливается штатно.

Какой криптопровайдер выбрать под Рутокен, зависит от того, в каком удостоверяющем центре выпущен ключ и под какой провайдер он сформирован:

• КриптоПро CSP — самый распространённый вариант. Его принимают и «1С-Отчётность», и ЭДО, и большинство госпорталов. Если сомневаетесь, какой провайдер поставить, в типовом случае это КриптоПро.
• ViPNet CSP — встречается реже. Проблема в том, что КриптоПро и ViPNet на одном компьютере уживаются плохо: держите только тот провайдер, под который выпущен ваш ключ.

Установка драйверов и проверка токена

Драйверы ставят с официального сайта Рутокен, отдельно от 1С. После установки откройте «Панель управления Рутокен» — это стандартная утилита производителя.

Порядок проверки такой:

1. Вставьте токен в USB напрямую, без хабов и удлинителей — питание через хаб бывает нестабильным.
2. Запустите «Панель управления Рутокен».
3. На вкладке со списком подключённых устройств убедитесь, что токен определился и показывает модель.
4. Нажмите ввод PIN-кода пользователя — если панель приняла PIN, связка «драйвер + токен» рабочая.

Если устройство в панели не появляется, дело в драйвере или в USB-порте, а не в 1С. Переставьте драйвер и смените порт.

Два PIN-кода у токена различаются по назначению, и путать их не стоит:

• PIN пользователя — им подписывают документы и входят в контейнер. Его вы вводите в 1С при каждой подписи (или один раз за сеанс, если включено кэширование).
• PIN администратора — им разблокируют токен после неверных попыток и меняют PIN пользователя. В обычной работе он не нужен, но без него заблокированный токен не восстановить.

Если токен уже заблокирован, а PIN администратора неизвестен, носитель придётся перевыпускать в удостоверяющем центре — сбросить его «в ноль» нельзя.

Привязка сертификата к контейнеру на токене

Это ключевой шаг, который чаще всего пропускают. В хранилище Windows должен лежать не просто сертификат, а сертификат, связанный с закрытым ключом на токене. Иначе 1С найдёт сертификат, но подписать не сможет.

Привязку делают средствами криптопровайдера. В КриптоПро CSP:

1. Откройте КриптоПро CSP → вкладка Сервис.
2. Нажмите Просмотреть сертификаты в контейнере.
3. Через Обзор выберите контейнер на подключённом токене (в имени будет номер носителя).
4. На экране с данными сертификата нажмите Установить — он попадёт в хранилище «Личное» уже с привязкой к контейнеру.

После этого в хранилище «Личное» (откройте его через certmgr.msc) у сертификата должен стоять признак, что для него есть закрытый ключ. Без этого признака подпись в 1С работать не будет.

Добавление сертификата в настройках 1С

Когда окружение готово, подключаем ключ внутри программы. Путь одинаков для типовых конфигураций на управляемых формах:

Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования

Дальше:

1. На вкладке Сертификаты нажмите Добавить → Из установленных на компьютере.
2. В списке выберите нужный сертификат — 1С показывает те, что лежат в хранилище «Личное».
3. Укажите владельца (пользователя или организацию) и назначение: подпись, шифрование или и то, и другое.
4. Нажмите проверку — программа запросит PIN токена и выполнит пробное подписание.

Если пробное подписание прошло, Рутокен подключён. Этот же сертификат дальше используется в «1С-Отчётности», ЭДО и обмене с госсистемами — повторно настраивать его не нужно.

Отдельно стоит знать про «1С-Отчётность»: при подключении сервиса мастер настройки сам находит сертификат на токене и предлагает его выбрать. Если вы уже прошли мастер, добавлять сертификат вручную по пути выше не нужно — он подхватится. Ручная установка через настройки подписи нужна, когда токен добавили позже или сертификат перевыпустили.

При добавлении 1С показывает только те сертификаты из хранилища «Личное», у которых есть привязка к закрытому ключу. Если нужного сертификата в списке нет, вернитесь к предыдущему шагу — почти всегда причина в том, что привязка к контейнеру не выполнена.

Пути к настройкам подписи по конфигурациям совпадают, но раздел верхнего уровня различается там, где нет блока ЭДО:

Работа с Рутокен в веб-клиенте через браузер

В тонком клиенте криптография идёт напрямую через провайдер. В веб-клиенте между браузером и токеном нужен посредник — браузерное расширение криптопровайдера.

Для работы через браузер понадобится:

• Браузерный плагин криптопровайдера — например, «КриптоПро ЭЦП Browser plug-in». Он даёт странице доступ к ключу на токене.
• Расширение 1С для работы с криптографией и файлами — браузер предложит установить его сам при первой попытке подписать документ.

Порядок настройки:

1. Установите браузерный плагин криптопровайдера и перезапустите браузер.
2. Зайдите в веб-клиент 1С и откройте любую операцию, требующую подписи.
3. На запрос установки расширения 1С согласитесь и перезапустите браузер ещё раз.
4. Разрешите сайту доступ к криптографии, если браузер спросит.

После этого веб-клиент видит тот же сертификат на токене, что и настольная 1С. Отдельно сертификат в браузере регистрировать не нужно — он берётся из системного хранилища.

Браузер при этом должен поддерживать работу с плагином. С современными версиями Chrome, Edge на движке Chromium и Яндекс.Браузера проблем обычно нет. Если после установки плагина подпись всё равно не предлагается, проверьте на диагностической странице криптопровайдера, что плагин «видит» токен и сертификат, — это отсекает половину вопросов ещё до обращения к 1С.

Диагностика ошибок подключения

Большинство сбоев сводится к четырём причинам. Разберите симптом и проверьте соответствующий слой, прежде чем переставлять всё подряд.

Отдельная частая ситуация — сертификат есть, но истёк его срок действия. Токен физически рабочий, а подписать нельзя: нужен перевыпуск сертификата в удостоверяющем центре. Срок проверяется в свойствах сертификата в хранилище «Личное».

Рутокен на терминальном сервере и в сети

При работе через удалённый рабочий стол (RDP) токен физически вставлен в локальный компьютер, а 1С запущена на сервере. Чтобы ключ «дотянулся» до сервера, в клиенте RDP нужно включить проброс устройств.

Что настроить на стороне клиента RDP:

1. В параметрах подключения откройте вкладку Локальные ресурсы.
2. В блоке локальных устройств нажмите Подробнее.
3. Отметьте проброс смарт-карт (а для некоторых моделей — и USB-устройств).
4. Переподключитесь — токен появится в сеансе на сервере.

На самом терминальном сервере криптопровайдер тоже должен быть установлен и лицензирован под терминальный режим — обычным однопользовательским ключом КриптоПро на терминальном сервере работать не будет.

В локальной сети без терминала (1С в клиент-серверном варианте) токен подключается на том компьютере, где сидит пользователь, а не на сервере 1С. Сервер приложений криптографию не выполняет — подпись всегда собирается на рабочем месте.

Сохранение настроек и копия ключа

Настройки подписи в 1С хранятся в самой базе, поэтому отдельно их выгружать не нужно — они попадают в обычную резервную копию базы. При переносе базы на другой компьютер сертификат и его привязку придётся установить заново, потому что хранилище Windows с базой не переезжает.

Про сам ключ важно понимать:

• Если ключ на Рутокен выпущен неизвлекаемым (так часто делают для квалифицированной подписи), скопировать его нельзя в принципе — это защита, а не ограничение 1С.
• Если ключ экспортируемый, его контейнер можно скопировать на второй токен через «Скопировать» в КриптоПро CSP. Для квалифицированной подписи это обычно запрещено условиями выпуска.

Перед заменой компьютера заранее проверьте, что у вас есть установочные файлы драйверов и криптопровайдера, а также действующая лицензия на провайдер — без неё новый компьютер токен не прочитает.

Частые вопросы