Как заменить сертификат электронной подписи в 1С-ЭДО

Чтобы сменить сертификат в 1С-ЭДО, нужно сделать три вещи по порядку: установить новый ключ в хранилище Windows, добавить его в настройки электронной подписи 1С и зарегистрировать у оператора ЭДО. Путь к настройкам в «1С:Бухгалтерии 8.3» — Администрирование → Обмен электронными документами. Старый сертификат при этом не удаляют: он ещё нужен для старых документов.

Менять сертификат приходится в двух случаях. Первый — плановое продление: срок действия квалифицированной подписи (КЭП) обычно год, перед окончанием выпускают новую. Второй — внеплановая замена: сменился директор или реквизиты организации, ключ скомпрометирован, токен вышел из строя. Процедура в обоих случаях одна, отличается только момент, когда вы отключаете старый ключ от подписания.

Срок действия текущего сертификата видно в его свойствах в 1С (раздел Настройки электронной подписи и шифрования) или в личном хранилище Windows. Не тяните до последнего дня: регистрация нового ключа у оператора занимает время, а в последний момент может всплыть просроченная лицензия КриптоПро .

Что подготовить до замены ключа ЭДО

Соберите всё заранее — тогда настройка займёт минут десять.

• 🔑 Новый сертификат КЭП, выпущенный аккредитованным удостоверяющим центром. С 2022 года подпись руководителя организации выдаёт УЦ ФНС или его доверенные лица.
• 💾 Носитель с закрытым ключом — защищённый токен (Рутокен, JaCarta) или реестр. На токене должен быть именно закрытый ключ, а не только файл сертификата.
• 🧩 Установленный и лицензированный криптопровайдер — чаще всего КриптоПро CSP. Проверьте срок действия лицензии самого КриптоПро: это отдельная от сертификата вещь.
• 👤 Права администратора 1С, чтобы менять настройки обмена.

Уточните заранее, кто указан владельцем нового сертификата. Если сменился директор, сертификат на прежнее имя больше не действует — нужен новый на нового руководителя. Подпись привязана к конкретному физлицу, «переоформить» её на другого человека нельзя.

Проверьте и версию криптопровайдера. Старые сборки КриптоПро CSP могут не поддерживать сертификаты по актуальным ГОСТам, и новый ключ просто не установится. Если сертификат выпущен недавно, а КриптоПро давно не обновлялся, сначала поставьте актуальную версию провайдера, а затем занимайтесь ключом.

Установка нового сертификата в хранилище Windows

1С берёт сертификаты из личного хранилища Windows текущего пользователя. Пока новый сертификат туда не попал, в программе он не появится.

Через КриптоПро CSP

Это основной способ, когда ключ на токене:

1. Вставьте токен в USB-порт.
2. Откройте КриптоПро CSP → вкладка Сервис → Просмотреть сертификаты в контейнере.
3. Нажмите Обзор, выберите контейнер с новым ключом, затем Далее.
4. На карточке сертификата нажмите Установить. Сертификат попадёт в личное хранилище вместе с привязкой к закрытому ключу.

Если у вас на руках только файл сертификата (.cer) без контейнера, используйте на той же вкладке кнопку Установить личный сертификат и укажите путь к файлу, а затем — к контейнеру с закрытым ключом.

Для токенов Рутокен и JaCarta в системе должны быть установлены драйверы носителя — иначе контейнер не будет виден в списке. Драйверы берут на сайте производителя токена. Если КриптоПро при выборе контейнера показывает пустой список, почти всегда причина именно в драйверах или в том, что токен не вставлен.

Корневые и промежуточные сертификаты УЦ

Отдельно установите корневой сертификат удостоверяющего центра и промежуточные сертификаты цепочки. Без них подпись формально создастся, но будет считаться недоверенной, и контрагент или оператор её отклонит. Файлы цепочки публикует ваш УЦ; устанавливают их в раздел Доверенные корневые центры сертификации. Для сертификатов УЦ ФНС корневые сертификаты обычно уже входят в дистрибутив КриптоПро актуальной версии.

Проверка, что ключ встал правильно

Откройте личное хранилище: нажмите Win+R, введите certmgr.msc, перейдите в Личное → Сертификаты. Новый сертификат должен быть в списке, а в его свойствах — строка «Есть закрытый ключ для этого сертификата». Нет этой строки — 1С сможет проверять подпись, но не подписывать.

Настройка электронной подписи внутри 1С

Теперь подключим новый сертификат к программе. Путь единый для «1С:Бухгалтерии 8.3», «1С:УТ 11» и других типовых конфигураций с 1С-ЭДО.

1. Откройте Администрирование → Обмен электронными документами.
2. Перейдите по ссылке Настройки электронной подписи и шифрования.
3. На закладке Сертификаты нажмите Добавить → Из установленных на компьютере.
4. В списке выберите новый сертификат (ориентируйтесь на срок действия «с» — он позже, чем у старого).
5. Укажите пользователя-владельца и введите пароль закрытого ключа, если он задан. Сохраните.

После этого сертификат появится в списке в 1С. На этом он уже готов к подписанию внутренних документов. Но для обмена с контрагентами его нужно ещё связать с учётной записью ЭДО.

Привязка сертификата к учётной записи ЭДО

В разделе Обмен электронными документами найдите настройки обмена с контрагентами и откройте учётную запись ЭДО вашей организации. В её параметрах есть перечень сертификатов, которыми вы подписываете исходящие документы. Добавьте сюда новый сертификат.

Старый пока оставьте — уберёте его после того, как убедитесь, что новый зарегистрирован и работает.

Регистрация нового сертификата у оператора ЭДО

Чтобы контрагенты принимали документы, подписанные новым ключом, оператор ЭДО должен знать этот сертификат. В 1С-ЭДО регистрация запускается из программы.

Когда вы добавили сертификат в учётную запись ЭДО, 1С формирует и отправляет оператору заявление на регистрацию сертификата. Дождитесь, пока статус сертификата у оператора сменится на «Зарегистрирован» — обычно это занимает от нескольких минут до нескольких часов.

Проверить статус можно там же, в карточке учётной записи ЭДО, или через обработку обмена: нажмите Отправить и получить и посмотрите служебные сообщения. Пока регистрация не завершена, подписывать исходящие новым сертификатом рано.

Регистрация сертификата у оператора и получение самого сертификата в УЦ — разные вещи. В УЦ вы получаете ключ, а оператор ЭДО (1С-ЭДО, Такском, Калуга Астрал и другие) лишь связывает этот ключ с вашей учётной записью для обмена. Поэтому даже действующий сертификат нельзя применять в обмене, пока оператор не подтвердил его регистрацию.

Проверка обмена с оператором и контрагентами

После регистрации убедитесь, что всё работает, на одном документе, а не на срочной отгрузке.

• Создайте и подпишите тестовый или реальный исходящий документ. При подписании 1С должна предложить именно новый сертификат.
• Нажмите Отправить и получить. Документ должен уйти без ошибок подписи.
• Проверьте, что контрагент получил и может открыть документ. Если у него стоит статус «Ошибка» — чаще всего дело в цепочке сертификатов на его стороне, а не у вас.

Первый документ, подписанный новым сертификатом, доходит до контрагента вместе со сведениями о смене ключа. Со стороны получателя это выглядит как обычный входящий: отдельно принимать «новый сертификат» ему не нужно. Если контрагент сообщает, что документ пришёл с ошибкой подписи, попросите его проверить, обновлены ли у него корневые сертификаты, — на вашей стороне после успешной регистрации всё настроено верно.

Если обмен настроен с несколькими организациями или через несколько учётных записей, повторите привязку и регистрацию сертификата для каждой из них отдельно. Удобно вести короткий список: организация — учётная запись ЭДО — срок действия сертификата, чтобы следующее продление не застало врасплох.

Решение типичных ошибок при смене подписи

Большинство сбоев при замене сертификата сводится к нескольким причинам. Ниже — как по симптому понять, что проверять.

Отдельная ситуация — старый сертификат истёк раньше, чем вы успели выпустить новый. Отправлять новые документы в этом окне нельзя, но полученные ранее входящие вы по-прежнему можете открывать и подписывать подтверждения новым ключом после его регистрации. Сорванные отправки просто повторите после настройки.

Что делать со старым ключом после замены

Удалять старый сертификат сразу нельзя. Он нужен, пока не закрыты все обмены, начатые до замены.

Когда новый сертификат зарегистрирован и проверен, в настройках учётной записи ЭДО уберите старый сертификат из тех, которыми подписывают исходящие. Сам сертификат из хранилища и списка 1С при этом оставьте — он потребуется, чтобы:

• открывать и проверять ранее подписанные им документы;
• завершить документооборот, который начинался на старом ключе;
• при налоговой проверке подтвердить подлинность подписи на документах прошлых периодов.

Токен со старым ключом храните до конца срока хранения соответствующих документов. По счетам-фактурам и первичке это, как правило, не меньше пяти лет. Физически уничтожать или форматировать старый носитель до истечения этого срока не стоит.

Отдельный случай — компрометация ключа (потеря токена, подозрение на копирование). Тогда старый сертификат нужно не просто отключить, а отозвать: подайте заявление на отзыв в удостоверяющий центр, который его выпустил. После отзыва подписи, созданные этим ключом, перестают быть действительными, поэтому отзыв делают только тогда, когда новый сертификат уже готов заменить старый в работе.

Частые вопросы