От флешки с ключом до подписанного документа: подключаем КЭП к 1С:Предприятию 8.3

Создать электронную подпись для 1С — это три действия: получить сертификат в удостоверяющем центре, поставить на компьютер криптопровайдер (обычно КриптоПро CSP) с сертификатом, а затем добавить этот сертификат в программу. В 1С:Бухгалтерии 3.0 последнее делается в разделе Администрирование → Общие настройки, блок «Электронная подпись и шифрование»: включите флажок и в настройках нажмите Добавить на вкладке «Сертификаты».

Сама 1С ключи подписи не «рисует». Квалифицированную подпись выпускает аккредитованный удостоверяющий центр, а программа только пользуется ей: подписывает отчётность, документы ЭДО, заявления. Поэтому настройка ЭП в 1С на 80% — это настройка Windows, криптопровайдера и носителя, и лишь потом — галочки в базе.

Что подготовить до установки и где взять подпись

Начните с вопроса, чья подпись нужна. От ответа зависит, куда идти за сертификатом.

С 2022 года руководители юрлиц и ИП получают КЭП в налоговой бесплатно. Носитель приносят свой: токен с сертификатом ФСТЭК или ФСБ, например Рутокен ЭЦП 2.0/3.0 или JaCarta-2 ГОСТ. Сотрудник подписывает документы своей личной подписью физлица, а полномочия подтверждает МЧД, оформленная по формату ФНС.

Перед установкой проверьте рабочее место:

• 💻 права администратора Windows — без них не поставить ни КриптоПро, ни драйвер токена;
• 🕒 верные дата, время и часовой пояс — при сбое часов сертификат считается «ещё не действующим» или просроченным;
• 🔑 сам носитель и PIN-код к нему (у Рутокена заводской PIN пользователя — 12345678, его меняют при выпуске);
• 🌐 доступ в интернет — для проверки списков отзыва и загрузки корневых сертификатов;
• 🧩 версия платформы и конфигурации — в старых релизах форма настроек ЭП выглядит иначе, чем описано ниже.

Шаг 1. Установка криптопровайдера и драйвера носителя

Криптопровайдер — программа, которая выполняет российские ГОСТ-алгоритмы. Windows сама их не умеет, и 1С тоже. Чаще всего ставят КриптоПро CSP 5.0, реже — ViPNet CSP. Два криптопровайдера на одном компьютере держать не стоит: они конфликтуют.

Порядок такой:

1. Скачайте дистрибутив КриптоПро CSP с сайта разработчика после регистрации.
2. Запустите установщик от имени администратора и выберите обычную установку.
3. Введите серийный номер лицензии. Без него программа работает в пробном режиме 3 месяца, после чего подписание перестаёт работать.
4. Перезагрузите компьютер.
5. Поставьте драйвер носителя: для Рутокена — «Драйверы Рутокен», для JaCarta — «Единый клиент JaCarta».
6. Вставьте токен и откройте Пуск → КриптоПро → КриптоПро CSP, вкладка «Оборудование» → «Настроить считыватели». Считыватель «Все считыватели смарт-карт» должен быть в списке.

Для работы через веб-клиент или тонкий клиент в браузере нужен ещё плагин браузера: КриптоПро ЭЦП Browser plug-in и расширение для работы с файлами 1С. Программа сама предложит их установить при первой попытке подписи.

Шаг 2. Установка сертификата подписи в Windows

Сертификат на токене ещё не виден системе. Его нужно положить в хранилище «Личное» текущего пользователя и связать с закрытым ключом.

Личный сертификат из контейнера

1. Откройте КриптоПро CSP → вкладка «Сервис».
2. Нажмите «Просмотреть сертификаты в контейнере».
3. Кнопкой «Обзор» выберите контейнер на токене и нажмите «Далее».
4. Проверьте владельца и срок действия, нажмите «Установить».

Если кнопки «Установить» нет, сертификат уже стоит в хранилище. Проверить можно через certmgr.msc — раздел «Личное → Сертификаты». В свойствах сертификата внизу должна быть надпись «Есть закрытый ключ, соответствующий этому сертификату».

Корневые и промежуточные сертификаты

Подпись проверяется по цепочке: ваш сертификат → сертификат УЦ → корневой сертификат Минцифры. Если звена нет, 1С сообщит, что цепочку построить не удалось.

• 🏛 корневой сертификат Головного удостоверяющего центра ставят в «Доверенные корневые центры сертификации»;
• 🏢 сертификат вашего УЦ (например, УЦ ФНС) — в «Промежуточные центры сертификации»;
• 📄 списки отзыва (CRL) обычно скачиваются сами по ссылке из сертификата, нужен только интернет.

Файлы корневых сертификатов берут на сайте своего удостоверяющего центра. Ставят двойным щелчком → «Установить сертификат » → «Поместить все сертификаты в следующее хранилище» → выбор нужного хранилища.

Шаг 3. Настройка электронной подписи в 1С:Бухгалтерии и других конфигурациях

Дальше работа идёт в базе. Механизм ЭП один для типовых конфигураций на БСП, поэтому шаги в 1С:Бухгалтерии 3.0, ЗУП 3.1 и УТ 11 почти одинаковые. Отличается только то, где лежит блок настроек.

Включаем механизм

1. Откройте указанный раздел.
2. Установите флажок «Электронные подписи». При необходимости — «Шифрование».
3. Перейдите по ссылке «Настройки электронной подписи и шифрования».

Проверяем программы

На вкладке «Программы» должна быть строка с вашим криптопровайдером. В новых релизах 1С находит установленные программы автоматически. В старых строку добавляют вручную:

Имя программы:  Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider
Тип программы:  80   (ГОСТ Р 34.10-2012, ключ 256 бит)
                81   (ГОСТ Р 34.10-2012, ключ 512 бит)

Тип 80 подходит для подавляющей части сертификатов, которые выдают ФНС и коммерческие УЦ. Если сертификат на 512-битном ключе, нужна строка с типом 81.

Добавляем сертификат

1. Вкладка «Сертификаты» → кнопка Добавить → «Из установленных на компьютере».
2. Выберите свой сертификат в списке.
3. Укажите пользователя 1С, которому он принадлежит, и организацию.
4. Нажмите «Проверить» и введите PIN токена.

Проверка показывает пять-шесть строк: наличие сертификата в личном хранилище, данные сертификата, программу, доверие к сертификату, подписание и проверку тестовых данных. Все строки должны быть зелёными. Если хоть одна красная — щёлкните по ней, 1С покажет текст ошибки.

Подпись на сервере в клиент-серверной базе

По умолчанию подписание идёт на компьютере пользователя: там стоит токен. В настройках есть опции проверки и подписания на сервере. Включайте их, только если КриптоПро и сертификаты установлены на сервере 1С, причём для учётной записи, под которой работает служба сервера. Иначе проверки начнут падать у всех пользователей сразу.

Шаг 4. Токены и носители ключей: что нужно знать

Носитель определяет, как вы будете жить с подписью дальше. Ключ может храниться на токене, в реестре Windows или на обычной флешке.

Практические моменты:

• 🔒 ключи КЭП от ФНС записываются как неэкспортируемые — скопировать контейнер с такого токена в реестр или на другой токен нельзя, это защита, а не сбой;
• 🔁 экспортируемый контейнер копируют в КриптоПро: вкладка «Сервис» → «Скопировать», затем сертификат из новой копии устанавливают заново;
• 🧯 PIN пользователя Рутокена блокируется после 10 неверных попыток по умолчанию; разблокировать его можно PIN-кодом администратора в «Панели управления Рутокен», если он известен;
• 🖥 при работе на терминальном сервере (RDP) токен пробрасывают через настройки подключения «Локальные ресурсы → Смарт-карты».

Шаг 5. Как подписать документ электронной подписью в 1С и отправить его

После настройки подпись появляется там, где программа умеет её использовать. Основных сценария три.

Регламентированная отчётность

В журнале Отчеты → Регламентированные отчеты откройте отчёт и нажмите «Отправить». 1С запросит PIN, подпишет файл и передаст его оператору. Чтобы это работало, сертификат должен быть указан ещё и в учётной записи документооборота организации, а не только в общих настройках ЭП.

Документы ЭДО

В рабочем месте «Текущие дела ЭДО» входящие документы подписывают командой «Подписать», исходящие — командой «Подписать и отправить». Для счетов-фактур и УПД со статусом «счёт-фактура» нужна только КЭП. Первичку стороны могут по соглашению подписывать и неквалифицированной подписью.

Если подписывает сотрудник, а не руководитель, к документу прикладывается МЧД. Её загружают в программу и связывают с сертификатом сотрудника. Без доверенности контрагент или ФНС не примут документ, подписанный личной КЭП работника.

Присоединённые файлы

К любому объекту, где есть «Присоединённые файлы» (скрепка в командной панели), можно приложить скан или PDF и подписать его. Подпись хранится рядом с файлом. Её можно сохранить отдельным файлом .sig и передать вместе с документом.

Диагностика: почему 1С не видит подпись или не подписывает

Первым делом нажмите «Проверить» в карточке сертификата в 1С. Красная строка в результатах подскажет, на каком звене цепочка рвётся. Дальше — по симптому.

Ещё две ситуации, которые решаются не в 1С:

• 🔄 Сертификат продлили, а 1С подписывает старым. Новый сертификат — это новый объект. Добавьте его через Добавить → Из установленных на компьютере, укажите в учётной записи документооборота и в настройках ЭДО, а старый пометьте как отозванный или неактуальный.
• 🧱 В браузере подпись не работает, в тонком клиенте работает. Не установлен или отключён плагин КриптоПро для браузера. Проверьте его на странице расширений браузера и разрешите для сайта с базой.

Частые вопросы