Копирование и перенос электронной подписи в 1С на другой компьютер

Скопировать электронную подпись в 1С — это на самом деле две операции: перенос контейнера закрытого ключа и установка самого сертификата. Многие копируют только сертификат (файл .cer) и потом удивляются, что подписать документ не получается. Сертификат без закрытого ключа подписывает документы ровно так же, как ксерокопия паспорта открывает счёт в банке — никак.

Закрытый ключ живёт либо в реестре Windows, либо в защищённой памяти токена (Рутокен, eToken, JaCarta). Где именно — зависит от того, как вам выпустили подпись. От этого зависит и способ переноса: контейнер из реестра выгружается штатными средствами криптопровайдера, а с аппаратного носителя закрытый ключ, как правило, вообще не копируется — и это сделано нарочно.

Ниже — порядок действий для самого частого случая: КриптоПро CSP, ключ в реестре или на флешке, переносим подпись на другой компьютер и подключаем её в 1С.

С чего начать: криптопровайдер и где лежит ключ

Прежде чем что-то копировать, проверьте, какой криптопровайдер установлен и где находится закрытый ключ. Для квалифицированной подписи в России это почти всегда КриптоПро CSP, реже — ВипНет CSP. Смешивать их нельзя: контейнер, созданный в КриптоПро, в ВипНет не прочитается.

Откройте панель управления криптопровайдера:

• КриптоПро CSP — Пуск → КриптоПро → КриптоПро CSP, вкладка Общие покажет версию и срок действия лицензии;
• посмотреть установленные сертификаты удобнее через оснастку certmgr.msc (Пуск → ввести certmgr.msc) → раздел Личное → Сертификаты.

Теперь определите, где закрытый ключ:

• 🔑 в реестре — контейнер был создан «на компьютер», вы не вставляли токен. Такой ключ копируется;
• 💳 на токене — при работе нужно вставлять Рутокен или eToken и вводить PIN. Такой ключ обычно защищён от экспорта (см. раздел про токены);
• 💾 на флешке — в корне носителя лежит папка вида xxxxxx.000 с шестью файлами .key. Это уже готовый к переносу контейнер.

На новом компьютере до переноса должны быть установлены: тот же криптопровайдер (КриптоПро CSP) с действующей лицензией и корневые сертификаты вашего удостоверяющего центра. Без корневых сертификатов подпись установится, но будет помечена как недоверенная.

Как выгрузить контейнер закрытого ключа из реестра

Если ключ в реестре, выгружать его правкой веток regedit не нужно — КриптоПро умеет копировать контейнер сам, целиком и корректно.

1. Откройте КриптоПро CSP → вкладка Сервис → Скопировать.
2. Нажмите Обзор и выберите контейнер, который переносите. Если имён много и непонятно, какой нужен, вернитесь к certmgr.msc, откройте нужный сертификат и посмотрите имя контейнера в его свойствах.
3. Задайте имя копии и укажите носитель-приёмник — обычно это флешка (Считыватель → Дисковод или имя USB-носителя).
4. Если при создании ключа задавался пароль, КриптоПро его запросит. Нет пароля — оставьте поле пустым.

После этого на флешке появится папка-контейнер с файлами .key. Это и есть закрытый ключ, готовый к переносу.

Как понять, какой из контейнеров нужен, если в списке их несколько. В окне Обзор КриптоПро показывает имена контейнеров и считыватели, на которых они лежат. Сопоставьте имя с нужным сертификатом: откройте сертификат в certmgr.msc, вкладка Состав, поле с привязкой к ключу — или просто ориентируйтесь по дате создания контейнера, она обычно совпадает с датой выпуска подписи. Копировать «на всякий случай» все контейнеры подряд не нужно: лишние копии закрытых ключей — это лишние точки утечки.

Отдельно нужен сам сертификат — открытая часть. Выгрузите его так: certmgr.msc → Личное → Сертификаты, правой кнопкой по нужному → Все задачи → Экспорт. В мастере:

• на вопрос об экспорте закрытого ключа выберите Нет, не экспортировать закрытый ключ (ключ вы уже скопировали контейнером, а экспорт в .pfx возможен только если ключ был помечен как экспортируемый);
• формат — Файл X.509 (.CER), кодировка DER;
• сохраните .cer рядом с контейнером на флешке.

Можно ли скопировать подпись с токена

Короткий ответ: закрытый ключ с защищённого токена скопировать, как правило, нельзя — и это не ошибка, а функция безопасности.

Рутокен ЭЦП 2.0, eToken, JaCarta и аналоги хранят закрытый ключ в защищённой памяти чипа и наружу его не отдают. Отметка «неэкспортируемый» ставится при выпуске подписи в удостоверяющем центре и снять её нельзя. Поэтому:

• 💳 если подпись выпущена на токен как неизвлекаемую — перенести её на другой носитель или в реестр не получится. Вставляйте токен в новый компьютер и работайте с ним напрямую;
• 📄 на новый компьютер нужно лишь установить сертификат с токена в хранилище: КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере → Обзор → выбрать контейнер на токене → Далее → Установить;
• 🔁 если токен вам нужен на нескольких рабочих местах по очереди — просто переносите сам токен, а на каждом ПК один раз установите сертификат по шагам выше.

Исключение — токены в режиме обычного носителя (без неизвлекаемого ключа). Тогда контейнер копируется так же, как с флешки, через КриптоПро CSP → Сервис → Скопировать. Но для квалифицированной подписи по 63-ФЗ удостоверяющие центры всё чаще выпускают ключ именно неизвлекаемым, так что заранее не рассчитывайте на копирование.

Установка контейнера и сертификата на новом компьютере

На новом компьютере сначала перенесите контейнер в реестр (или оставьте на флешке, если работаете с неё), затем привяжите к нему сертификат.

Шаг 1. Скопировать контейнер в реестр. КриптоПро CSP → Сервис → Скопировать, источник — флешка с контейнером, приёмник — Реестр. Тот же мастер, что и при выгрузке, только направление обратное. Так ключ не будет зависеть от флешки.

Шаг 2. Установить сертификат и связать его с контейнером. КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере:

1. Обзор → выберите перенесённый контейнер;
2. Далее → откроется карточка сертификата с данными владельца и сроком действия;
3. нажмите Установить. КриптоПро поместит сертификат в хранилище Личное и автоматически пропишет связь «сертификат ↔ закрытый ключ».

Шаг 3. Проверить корневые сертификаты. Откройте установленный сертификат в certmgr.msc, вкладка Путь сертификации. Если весь путь до корня отмечен зелёными галочками — цепочка доверия в порядке. Если есть красные крестики, скачайте и установите корневые и промежуточные сертификаты вашего удостоверяющего центра в хранилища Доверенные корневые центры и Промежуточные центры.

Подключение сертификата в 1С

После того как сертификат с ключом видны в Windows, их нужно показать самой 1С. В типовых конфигурациях (Бухгалтерия 3.0, ЗУП 3.1, Управление торговлей 11) используется общая подсистема, пути отличаются только точкой входа.

Откройте форму настроек ЭП:

• Бухгалтерия предприятия 3.0 — Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования;
• ЗУП 3.1 — аналогично, Администрирование → Обмен электронными документами;
• если раздела Обмен электронными документами не видно, включите его в Администрирование → Настройки программы (функциональные опции обмена ЭДО).

В открывшейся форме перейдите на вкладку Сертификаты и нажмите Добавить:

1. выберите Из установленных на компьютере (а не «заявление на выпуск нового»);
2. 1С покажет список сертификатов из хранилища Личное — отметьте нужный;
3. на следующем шаге укажите владельца и, если ключ с паролем, введите его. Поставьте галочку запоминания пароля, если не хотите вводить его при каждой подписи;
4. нажмите Проверить — 1С выполнит тестовое подписание. Зелёные галочки по всем пунктам означают, что подпись работает.

Если подпись нужна для обмена с контрагентами (ЭДО) или для сдачи отчётности через 1С-Отчётность, в тех же настройках назначьте сертификат ответственному и организации — иначе подпись будет установлена, но не привязана к документообороту.

Отдельный случай — замена подписи по сроку. Когда старый сертификат заканчивается и удостоверяющий центр выпускает новый, его не нужно вписывать поверх старого: добавьте новый сертификат той же кнопкой Добавить → Из установленных на компьютере и назначьте ответственному вместо прежнего. Старый сертификат оставьте в списке — он понадобится, чтобы открыть и проверить документы, подписанные раньше. 1С сама подберёт действующий сертификат при подписании новых документов.

Частые ошибки при копировании подписи и их устранение

Большинство проблем после переноса подписи сводится к пяти причинам. Диагностика — по симптому:

Ещё две ситуации, которые часто принимают за поломку подписи:

• Не установлен модуль для браузера. Для подписания в веб-клиенте и на порталах нужен «КриптоПро ЭЦП Browser plug-in». На толстом клиенте 1С он не требуется, но для 1С-Отчётности и ЭДО через браузер — обязателен.
• Разрядность провайдера. Если 1С 64-разрядная, а КриптоПро CSP установлен без поддержки нужной разрядности, сертификаты могут не подхватываться. Обычно помогает переустановка актуальной версии КриптоПро CSP.

Частые вопросы