Экспорт и перенос ЭЦП из 1С на другой компьютер

Сохранить подпись «из 1С» одной кнопкой не выйдет: сама программа закрытый ключ не хранит — она обращается к криптопровайдеру, чаще всего к КриптоПро CSP. Открытую часть сертификата вы выгрузите в файл .cer прямо из карточки сертификата, а закрытый ключ скопируете отдельно — через КриптоПро, и только если он помечен как экспортируемый.

Для переноса подписи на другой компьютер нужны обе части — сертификат и контейнер с закрытым ключом. С квалифицированной подписью (КЭП) от ФНС, записанной на токен, ключ обычно выгрузить нельзя: он неэкспортируемый, и переносят сам токен. С подписью, установленной в реестр, экспорт чаще доступен.

Порядок ниже рассчитан на платформу 8.3 с интерфейсом «Такси» и КриптоПро CSP под Windows. Для криптопровайдера ViPNet CSP логика та же, отличаются только названия окон.

Где 1С хранит электронную подпись и что из неё можно сохранить

Электронная подпись состоит из двух частей, и путают их постоянно:

• 🔓 Сертификат (открытая часть). Публичный ключ, данные владельца, срок действия, имя удостоверяющего центра. Не секретен, передаётся свободно.
• 🔑 Закрытый ключ. Хранится в контейнере криптопровайдера — в реестре Windows, на флешке или на токене (Рутокен, JaCarta). Именно им формируется подпись, и именно он требует защиты.

1С не держит закрытый ключ внутри базы. В настройках она лишь ссылается на сертификат, установленный в системе, а подписание отдаёт КриптоПро. Поэтому «сохранить подпись из 1С» на практике означает две разные операции:

1. выгрузить открытую часть в .cer — это всегда возможно;
2. скопировать закрытый ключ (копией контейнера или в .pfx) — только если ключ экспортируемый.

Экспортируемость ключа задаётся один раз — при выпуске подписи в удостоверяющем центре. Если ключ записали как неэкспортируемый (стандарт для КЭП на токене), скопировать его штатными средствами нельзя никак, и это не сбой, а защита. Проверить несложно: запустите экспорт сертификата через certmgr.msc; активен пункт «Да, экспортировать закрытый ключ» — ключ выгружается, заблокирован — остаётся переносить носитель целиком.

Перед началом убедитесь, что криптопровайдер установлен. Откройте Пуск → КриптоПро CSP, вкладка Общие — там видны версия и статус лицензии. Без установленного и лицензированного КриптоПро ни подписание в 1С, ни экспорт ключа работать не будут.

Находим нужный сертификат в настройках 1С

Список подписей, которыми пользуется программа, собран в одной форме. В «Бухгалтерии предприятия» 3.0 путь такой:

Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования

В зависимости от конфигурации раздел верхнего уровня может называться иначе (в ЗУП, УТ, КА и ERP форма та же, добраться до неё можно из блока настроек ЭДО или отчётности), но сама форма «Настройки электронной подписи и шифрования» одинакова во всех типовых решениях на базе БСП.

Откройте вкладку «Сертификаты» — здесь перечислены все добавленные подписи. Двойной клик по строке открывает карточку, где видно:

• Кому выдан — владелец и организация;
• Кем выдан — удостоверяющий центр;
• Действителен до — срок окончания.

По этим полям и определяйте нужный сертификат, особенно если в списке их несколько (директор, бухгалтер, подпись для маркировки). Запомните владельца и УЦ — по ним вы потом найдёте тот же контейнер в КриптоПро.

Когда подписей много, держите в голове их назначение: для сдачи отчётности обычно используют подпись руководителя, для ЭДО — свою, для маркировки — отдельную. В карточке видно и организацию, и владельца, так что перепутать сертификаты при экспорте сложно.

Сохранение открытой части сертификата в файл .cer

Открытая часть выгружается легко, и ключ при этом не покидает компьютер. Два надёжных способа.

Из карточки сертификата в 1С. Откройте сертификат во вкладке «Сертификаты» и найдите команду сохранения сертификата в файл (обычно в верхней командной панели карточки). Укажите папку — получите файл с расширением .cer.

Через системное хранилище Windows — работает всегда, даже если в 1С команды не видно:

1. Нажмите Win+R, введите certmgr.msc, нажмите Enter.
2. Откройте Личное → Сертификаты, найдите нужную подпись по владельцу.
3. Правый клик → Все задачи → Экспорт.
4. В мастере выберите «Нет, не экспортировать закрытый ключ» — так вы точно сохраните только открытую часть.
5. Формат — Файл X.509 (.CER) в кодировке DER.
6. Задайте имя файла и завершите мастер.

Открытую часть чаще всего просят для настройки обмена: контрагент загружает ваш .cer, чтобы шифровать входящие документы под ваш ключ, а порталы и личные кабинеты — чтобы привязать сертификат к учётной записи. Для таких задач закрытый ключ не нужен, и передавать его нельзя.

Копирование закрытого ключа: контейнер и формат .pfx

Чтобы подпись заработала на другой машине, нужен закрытый ключ. Выгрузить его можно двумя путями, и оба — через КриптоПро или системный мастер, а не через 1С.

Способ 1. Копия контейнера (КриптоПро). Подходит, когда на обоих компьютерах стоит КриптоПро.

1. Откройте КриптоПро CSP, вкладка Сервис.
2. Нажмите Скопировать….
3. Кнопкой Обзор выберите контейнер с нужным ключом (ориентируйтесь на владельца сертификата).
4. Задайте имя копии и выберите носитель — флешку или реестр.
5. Если контейнер защищён паролем, введите его; при необходимости задайте пароль для копии.

Способ 2. Экспорт в .pfx (файл PKCS #12). Удобен, когда нужен один переносимый файл.

1. Откройте certmgr.msc, найдите сертификат в разделе Личное.
2. Правый клик → Все задачи → Экспорт.
3. Выберите Да, экспортировать закрытый ключ.
4. Формат — Файл обмена личной информацией — PKCS #12 (.PFX), отметьте экспорт расширенных свойств.
5. Задайте пароль на файл и сохраните .pfx.

Куда копировать контейнер — зависит от второго компьютера. Реестр удобен для стационарного рабочего места: ключ всегда под рукой, но привязан к этой машине и профилю пользователя. Флешка мобильнее и переносит ключ физически, зато легко теряется. Для постоянного переноса между офисами надёжнее аппаратный токен, но экспортируемый ключ на него записывают заранее, при выпуске подписи.

Пароль от .pfx или контейнера храните отдельно от самого файла. Без пароля ключ бесполезен, а с паролем любой, кто получит файл, сможет подписывать документы от вашего имени.

Чем отличаются форматы .cer и .pfx и когда какой нужен

Главная развилка — переносите вы подпись для работы или отдаёте сертификат внешней стороне.

Вывод простой: для переноса рабочей подписи нужен .pfx либо копия контейнера. Файл .cer сам по себе подписывать не позволяет — он переносит только открытую часть.

Перенос и установка подписи на другом компьютере

Когда ключ выгружен, остаётся поставить подпись на новой машине. По шагам:

1. Установите КриптоПро CSP — версия не ниже той, что стояла на исходном компьютере.
2. Перенесите закрытый ключ. Для копии контейнера — вставьте флешку с копией. Для .pfx — двойной клик по файлу запустит мастер импорта: введите пароль и поместите ключ в хранилище Личное.
3. Установите личный сертификат. В КриптоПро откройте Сервис → Установить личный сертификат…, укажите файл .cer и свяжите его с перенесённым контейнером. Если переносили контейнер, можно пойти через Сервис → Просмотреть сертификаты в контейнере… → Установить.
4. Доустановите цепочку доверия. Если система сообщает, что сертификат не доверенный, поставьте корневые сертификаты удостоверяющего центра и актуальный список отозванных сертификатов.
5. Добавьте подпись в 1С. На новом ПК откройте Настройки электронной подписи и шифрования, добавьте сертификат, выбрав его из уже установленных в системе, и выполните проверку подписи.

Две вещи, на которых спотыкаются чаще всего. Первая — версия криптопровайдера: если на старой машине стоял КриптоПро CSP новее, на новой ключ может не прочитаться, поэтому ставьте версию не ниже. Вторая — алгоритм: современные подписи работают по ГОСТ 2012, и слишком старый дистрибутив КриптоПро его не поддержит. На терминальном сервере сертификат ставят в профиль конкретного пользователя, а лицензию КриптоПро активируют на самом сервере.

Частые ошибки при выгрузке и переносе подписи

Большинство сбоев сводится к нескольким причинам. Найдите свой симптом.

Как безопасно хранить файлы с закрытым ключом

Файл .pfx или копия контейнера — это и есть ваша подпись. Кто получил файл вместе с паролем, тот подпишет договор или отчёт от вашего имени. Поэтому обращаться с ними нужно как с печатью и подписью на бланке.

• 🔐 Пароль храните отдельно от файла, а не в соседней папке и не в имени файла.
• 📵 Не пересылайте .pfx по почте и в мессенджерах — файл останется в переписке и на серверах.
• 🧹 После переноса удалите копию с флешки или уберите носитель в сейф.
• 👥 На рабочем компьютере ограничьте доступ к папке с ключом правами Windows.
• 🚨 При потере носителя или подозрении на компрометацию немедленно отзывайте сертификат в удостоверяющем центре.

Если рабочий компьютер с подписью передают другому сотруднику или сдают в ремонт, ключ удаляют заранее. Контейнер стирается через КриптоПро CSP → Сервис → Удалить…, сам сертификат — через certmgr.msc. Оставшийся после переноса файл .pfx тоже убирают безвозвратно: перемещение в корзину ключ не уничтожает.

По закону об электронной подписи (63-ФЗ) владелец обязан не допускать использования своего ключа без согласия и при компрометации сразу уведомлять удостоверяющий центр. Отозванной подписью подписать документ уже не получится — это и защищает вас от чужих действий после утечки.

Частые вопросы