Настройка ЭЦП в 1С 8.3: от криптопровайдера до тестового подписания

Чтобы подпись заработала в 1С 8.3, нужно пройти четыре шага по порядку: поставить криптопровайдер (КриптоПро CSP или ViPNet CSP), установить личный сертификат в хранилище Windows, включить и добавить его в разделе Администрирование → Обмен электронными документами, а затем привязать к пользователю базы. Платформа сама не шифрует и не подписывает — она обращается к криптопровайдеру, поэтому его отсутствие или несовпадение версии с сертификатом и даёт большинство ошибок.

Инструкция ниже — для типовых конфигураций на управляемых формах (Бухгалтерия 3.0, ЗУП 3.1, УТ 11) с интерфейсом «Такси». Пути в них совпадают. Отдельно разберём, что проверять, если подпись не находится или контейнер не читается.

Что нужно подготовить до установки

Прежде чем открывать 1С, соберите три вещи. Без любой из них настройка застрянет на середине.

• 🔑 Носитель с сертификатом — Рутокен, eToken, JaCarta или флешка с папкой контейнера. Реже сертификат лежит в реестре Windows.
• 🧩 Криптопровайдер — программа, которая умеет работать с вашим типом ключа. Чаще это КриптоПро CSP, иногда ViPNet CSP. Провайдер должен быть тем же, на котором выпущен сертификат: ключ ViPNet КриптоПро не прочитает, и наоборот.
• 📄 Действующий сертификат — проверьте срок годности. Просроченный сертификат установить можно, но подписать им ничего не получится.

Криптопровайдер ставится один раз на рабочее место, а не внутрь 1С. Скачайте дистрибутив с сайта разработчика, запустите установку с правами администратора и перезагрузите компьютер. КриптоПро CSP поставляется с пробным периодом; для постоянной работы нужна лицензия на это рабочее место.

Версия провайдера должна поддерживать стандарт, по которому выпущен сертификат. Сейчас сертификаты выдают по ГОСТ 2012, и его понимает КриптоПро CSP версии 4.0 и выше; актуальная ветка — 5.0. Если на компьютере стоит старая версия провайдера, она может не прочитать ключ нового образца — обновите провайдер до версии, которая поддерживает ваш ГОСТ, не ниже рекомендованной удостоверяющим центром.

Для токенов (Рутокен, eToken) дополнительно нужен драйвер носителя — его ставят отдельно, до или после криптопровайдера. Без драйвера система не увидит вставленный ключ.

Как перенести сертификат в личное хранилище

1С читает сертификаты из личного хранилища Windows (хранилище «Личные» текущего пользователя). Если ключ на токене, сертификат чаще всего нужно сначала скопировать туда.

Самый надёжный способ — через панель КриптоПро CSP:

1. Откройте Пуск → КриптоПро CSP (или Панель управления → КриптоПро CSP).
2. Перейдите на вкладку Сервис.
3. Нажмите Просмотреть сертификаты в контейнере.
4. Кнопкой Обзор выберите контейнер на вставленном носителе и нажмите Далее.
5. В окне со сведениями о сертификате нажмите Установить.

После этого сертификат появится в личном хранилище вместе со ссылкой на закрытый ключ — именно связка «сертификат + закрытый ключ» позволяет подписывать. Если установить только открытый сертификат (например, из файла .cer), подпись работать не будет: закрытая часть останется на носителе без привязки.

Когда сертификат хранится в реестре, а не на токене, шаги те же: контейнер в окне Обзор будет отображаться как ключ в реестре. Устанавливать повторно при каждом входе в 1С не нужно — хранилище запоминает связку до переустановки системы или истечения срока.

Иногда ключ нужно перенести на другой компьютер или сделать резервную копию контейнера. Для этого на вкладке Сервис панели КриптоПро CSP есть кнопка Скопировать — она создаёт копию контейнера на выбранном носителе. Копировать закрытый ключ можно, только если это разрешено политикой удостоверяющего центра: для многих квалифицированных сертификатов экспорт закрытого ключа с токена запрещён на уровне самого носителя, и скопировать его не выйдет. Это защита, а не ошибка.

Где в 1С включается работа с подписью

Сама по себе платформа функционал подписи не показывает — его включают в настройках конфигурации.

Откройте Администрирование → Обмен электронными документами. В группе, посвящённой электронной подписи и шифрованию, установите флажок, разрешающий использовать электронные подписи. Пока флажок снят, в документах и отчётах кнопок подписания не будет.

Рядом с флажком появится ссылка на форму настроек электронной подписи и шифрования — откройте её. Форма разбита на вкладки:

Сначала загляните на вкладку Программы. Если криптопровайдер установлен правильно, 1С определит его автоматически и покажет в списке как доступный. Пустой список или пометка о недоступности — сигнал, что провайдер не установлен, стоит не та разрядность или компьютер не перезагружали после установки.

На вкладке Дополнительно задают, проверять ли сертификат при каждом подписании. По умолчанию контроль включён: перед тем как поставить подпись, 1С убедится, что сертификат не отозван и не просрочен. Отключать проверку без причины не стоит — она ловит ситуацию, когда ключ формально есть, но пользоваться им уже нельзя. Здесь же можно задать, выводить ли приглашение подтвердить подписание и как долго хранить введённый пароль в течение сеанса.

Эти же настройки работают и для шифрования: механизм в 1С общий, поэтому форма называется «электронной подписи и шифрования». Если вы шифруете документы для контрагента, добавьте в список его открытый сертификат — тогда зашифрованный файл сможет открыть только он своим закрытым ключом.

Как добавить сертификат и закрепить за пользователем

Теперь свяжем установленный в Windows сертификат с базой и конкретным пользователем.

На вкладке Сертификаты нажмите Добавить. 1С предложит выбрать источник — берите вариант, который добавляет сертификат из уже установленных на компьютере (а не заявку на выпуск нового). Откроется список сертификатов из личного хранилища Windows. Выберите нужный.

Дальше 1С попросит заполнить карточку сертификата:

1. Проверьте, что реквизиты владельца подтянулись из сертификата — ФИО, организация, срок действия.
2. В карточке есть поле «Пользователь» — укажите сотрудника базы, который будет подписывать этим ключом. Так подпись закрепляется за человеком, а не «висит» на организации.
3. Включите ввод пароля к контейнеру, если хотите, чтобы 1С спрашивала его при каждом подписании. Хранить пароль в базе удобно, но менее безопасно.
4. Запишите карточку.

Один пользователь может иметь несколько сертификатов (например, личный и как руководитель), и один сертификат — быть доступен нескольким пользователям, если так настроены права. Пароль к закрытому ключу задаётся в криптопровайдере при выпуске; в 1С его можно только ввести или запомнить, но не сменить.

Если подписывать документы будут несколько сотрудников с разных компьютеров, помните: сертификат должен быть установлен в хранилище на каждом рабочем месте, откуда идёт подписание. Запись в базе одна, но закрытый ключ локален — он лежит на токене или в реестре конкретной машины.

Для веб-клиента есть особенность: браузер сам по себе к закрытому ключу не обращается. Чтобы подпись работала через веб-клиент, на рабочем месте дополнительно ставят расширение для работы с криптографией — 1С предложит его установить при первой попытке подписать. Без расширения кнопки подписания в браузере либо не появятся, либо будут выдавать ошибку обращения к криптопровайдеру.

Проверка и первое тестовое подписание

Не проверяйте работоспособность «в бою» на реальном документе. В карточке сертификата есть кнопка Проверить — она прогоняет полный цикл: находит ли программа закрытый ключ, доступен ли криптопровайдер, проходит ли тестовое подписание и шифрование.

Запустите проверку. По каждому пункту 1С покажет результат — зелёную отметку или ошибку с пояснением. Пока все пункты не отмечены успешно, подписывать реальные документы рано. Во время проверки криптопровайдер может запросить пароль (PIN) к контейнеру — это нормально, введите его.

Когда проверка пройдена, подпишите что-нибудь тестовое там, где подпись реально используется, — например, при отправке отчёта или электронного документа контрагенту. Признак успеха: 1С формирует файл подписи, статус документа меняется на подписанный, в списке подписей появляется ваше ФИО и дата.

Подпись из этой же настройки работает по всей базе: регламентированная отчётность в контролирующие органы, обмен электронными документами с контрагентами (счета-фактуры, акты, накладные), кадровый электронный документооборот, если он подключён. Настраивать сертификат заново под каждый из этих сценариев не нужно — связка «сертификат + пользователь» одна на базу.

Учтите разницу в требованиях к виду подписи. Для счетов-фактур и сдачи отчётности нужна усиленная квалифицированная подпись (КЭП) — та, что выпущена аккредитованным удостоверяющим центром. Для первичных документов по соглашению сторон закон допускает и другие виды подписи. 1С технически подпишет документ любым добавленным сертификатом, но соответствие требованиям — на стороне пользователя.

Что делать, когда подпись не работает

Большинство сбоев при настройке — это ненайденный ключ или несовпадение провайдера. Разберём симптомы и причины.

Отдельно про лицензию: без действующей лицензии КриптоПро CSP по истечении пробного периода перестаёт выполнять криптооперации, хотя сертификат остаётся на месте. Если ещё вчера всё работало, а сегодня подпись «сломалась» без видимых изменений — проверьте срок лицензии провайдера на вкладке Общие в его панели.

Если 1С ругается на недоверенный корневой сертификат, установите цепочку сертификатов удостоверяющего центра (корневой и промежуточные) в соответствующие хранилища Windows. Их обычно выдаёт тот же УЦ, что и ваш сертификат. Корневой ставят в хранилище доверенных корневых центров, промежуточные — в промежуточные; без полной цепочки проверка сертификата не пройдёт, даже когда с ключом всё в порядке.

Ещё одна неочевидная причина сбоев — сбитые дата и время на компьютере. Подпись привязана к моменту создания, и если системные часы сильно расходятся с реальным временем, проверка подписи может не пройти: сертификат будет выглядеть ещё не действующим или уже просроченным. Синхронизируйте время перед настройкой.

Частые вопросы