Электронная подпись в 1С: от криптопровайдера до первой подписанной отчётности

Чтобы подписывать отчёты и документы в 1С электронной подписью, нужны три вещи: криптопровайдер (чаще всего КриптоПро CSP), сам сертификат на носителе или в реестре и включённая настройка подписи в программе. Порядок жёсткий: сначала криптопровайдер и драйверы токена, потом установка сертификата в хранилище Windows, и только затем подключение сертификата в 1С через Администрирование → Обмен электронными документами.

Если сертификат уже установлен на компьютере и работает в браузере или в «1С-Отчетности», в самой 1С останется один шаг — добавить его в список сертификатов. Если вы настраиваете рабочее место с нуля, пройдите все этапы по очереди: пропуск любого даёт одну из типовых ошибок вроде «закрытый ключ не найден».

Что должно стоять на компьютере до настройки

Электронная подпись в 1С работает не сама по себе, а поверх средства криптографической защиты. Программа лишь вызывает установленный криптопровайдер и сертификат, поэтому их готовят заранее.

Вам понадобится такой набор:

• 🔐 Криптопровайдер — программа, которая умеет шифровать и подписывать по ГОСТ. Для большинства организаций это КриптоПро CSP; реже встречается ViPNet CSP. На одном компьютере нельзя держать два разных криптопровайдера одновременно — они конфликтуют, и подпись перестаёт работать.
• 💳 Носитель ключа — защищённый токен Рутокен, JaCarta или eToken, либо обычная флешка/реестр, если ключ выгружен туда. Для токена нужны свои драйверы.
• 📄 Квалифицированный сертификат (КЭП) — получают в аккредитованном удостоверяющем центре. Сертификат руководителя организации и ИП с 2022 года выдаёт только удостоверяющий центр ФНС (или его доверенные лица), сертификаты сотрудников — коммерческие УЦ.
• 🧩 Корневые сертификаты УЦ — цепочка доверия от вашего сертификата до головного центра. Обычно ставятся вместе с личным сертификатом, но иногда их нужно установить руками.

Установка криптопровайдера и драйверов носителя

Начните с криптопровайдера. Дистрибутив КриптоПро CSP скачивают с сайта разработчика под вашу версию Windows (как правило, подходит актуальная линейка для Windows 10 и Windows 11, а также для Windows Server 2016 и новее). Установка стандартная — «Далее» до конца, затем перезагрузка.

После установки введите лицензию: откройте Пуск → КриптоПро CSP, вкладка Общие, кнопка Ввод лицензии. Без действующей лицензии КриптоПро работает в пробном режиме 90 дней, после чего подпись перестаёт формироваться.

Дальше — драйверы токена. Они зависят от типа носителя:

• для Рутокен ставят «Драйверы Рутокен» с сайта «Актив»;
• для JaCarta — «Единый клиент JaCarta»;
• для eToken — SafeNet Authentication Client.

Порядок такой:

1. Закройте 1С и браузеры.
2. Установите драйвер носителя, следуя мастеру.
3. Перезагрузите компьютер.
4. Вставьте токен в USB-порт и дождитесь, пока система его опознает — обычно появляется значок в области уведомлений.

Установка личного сертификата в хранилище Windows

Чтобы 1С «увидела» сертификат, он должен лежать в хранилище Windows «Личные» с привязкой к закрытому ключу. Самый надёжный способ установки — через КриптоПро CSP, прямо с контейнера на токене.

Пошагово:

1. Откройте Пуск → КриптоПро CSP, перейдите на вкладку Сервис.
2. Нажмите Просмотреть сертификаты в контейнере.
3. Кнопкой Обзор выберите контейнер (имя закрытого ключа на токене) и нажмите Далее. При запросе введите ПИН-код.
4. В окне со сведениями о сертификате нажмите Установить. Сертификат пропишется в хранилище «Личные» вместе со ссылкой на закрытый ключ.

Если у вас отдельный файл сертификата с расширением .cer, на той же вкладке Сервис есть кнопка Установить личный сертификат — мастер попросит указать файл сертификата и контейнер с закрытым ключом.

Проверьте результат. Нажмите Win+R, введите certmgr.msc и откройте раздел Личное → Сертификаты. Ваш сертификат должен быть в списке, а в его свойствах — строка «Есть закрытый ключ для этого сертификата». Если такой строки нет, 1С подписать документ не сможет — значит, сертификат установлен без привязки к ключу, повторите установку через «Просмотреть сертификаты в контейнере».

Отдельно убедитесь, что установлены корневые и промежуточные сертификаты удостоверяющего центра. Их обычно можно скачать на сайте вашего УЦ и установить двойным кликом в хранилища «Доверенные корневые центры сертификации» и «Промежуточные центры сертификации». Без полной цепочки сертификат будет помечен как недействительный.

Подключение сертификата в настройках 1С

Теперь подпись добавляют в саму программу. В 1С:Бухгалтерии 3.0, ЗУП 3.1 и других типовых конфигурациях на платформе 8.3 общий путь единый.

1. Откройте Администрирование → Обмен электронными документами.
2. Разверните группу «Электронные подписи и шифрование» и включите флажок Электронные подписи.
3. Перейдите по ссылке Настройки электронной подписи и шифрования.
4. На вкладке Сертификаты нажмите Добавить и выберите вариант Из установленных на компьютере.
5. В списке отметьте нужный сертификат (программа показывает те, что лежат в хранилище «Личные»), нажмите Далее.
6. Укажите, для чего будет использоваться сертификат (подписание, шифрование), при необходимости введите ПИН-код и сохраните карточку.

После этого сертификат появляется в списке и доступен при отправке отчётности и подписании электронных документов.

Названия пунктов в разных конфигурациях почти совпадают. Если точного пункта на вашей форме нет, ориентируйтесь на раздел Администрирование и группу со словами «электронные подписи» или «обмен документами».

Отдельный случай — работа в веб-клиенте 1С (через браузер) или в сервисе 1cfresh. Тогда одного криптопровайдера мало: нужен ещё КриптоПро ЭЦП Browser plug-in. Без него браузер не сможет обратиться к закрытому ключу, и 1С при подписании выдаст сообщение, что расширение для работы с криптографией не установлено. Плагин ставят с сайта КриптоПро, после установки браузер перезапускают и разрешают работу расширения. В тонком и толстом клиенте (установленная программа) плагин не требуется — подпись идёт напрямую через криптопровайдер.

Выбор сертификата и проверка работоспособности

Когда сертификатов несколько (например, старый и перевыпущенный), важно подключить действующий. В списке сертификатов 1С показывает срок действия и владельца — выбирайте тот, у которого срок ещё не истёк, а организация и ФИО совпадают с подписантом.

Проверить подпись можно не отправляя реальный отчёт:

1. В форме Настройки электронной подписи и шифрования, вкладка Сертификаты, откройте карточку нужного сертификата.
2. Нажмите кнопку Проверить.
3. Программа последовательно проверит доступ к закрытому ключу, подписание и шифрование. При запросе ПИН-кода введите его.

Зелёные отметки по всем пунктам означают, что подпись готова к работе. Если проверка упирается в ПИН-код — убедитесь, что токен вставлен, а ПИН введён верно (после нескольких неверных попыток носитель может заблокироваться).

Сравнение способов установки сертификата:

Если один и тот же сертификат нужен на нескольких компьютерах, контейнер закрытого ключа копируют заранее. В КриптоПро это вкладка Сервис → Скопировать — мастер попросит выбрать исходный контейнер (токен), задать имя копии и указать, куда её поместить: на другой токен, в реестр или на съёмный носитель. После копирования сертификат устанавливают на целевой машине обычным порядком. Такой способ законен для вашей собственной подписи; передавать ключ посторонним нельзя — по закону подпись приравнивается к собственноручной.

Облачная подпись и работа без токена

Не всем удобно носить токен — для таких случаев есть облачная подпись. Закрытый ключ хранится на защищённом сервере, а подписание подтверждается кодом из СМС или в приложении. В 1С это реализовано через сервис «1С-Подпись» и совместимые облачные решения.

Ключевые отличия облачной КЭП от обычной:

• 🔑 Нет физического носителя — ключ не лежит на флешке или токене, его нельзя потерять или забыть дома.
• 📱 Подтверждение по коду — каждое подписание подтверждается одноразовым кодом, это заменяет ПИН токена.
• 💻 Не нужен криптопровайдер на каждом ПК — подпись формируется на стороне сервиса, что удобно для тонких клиентов и терминального доступа.

Подключение облачной подписи идёт через того же провайдера, что и выпуск сертификата: в 1С добавляется учётная запись сервиса, а дальше программа запрашивает подтверждение при каждой операции. Юридически квалифицированная облачная подпись равнозначна обычной КЭП.

У облачного варианта есть и ограничение: для подписания нужен доступ в интернет и работающий сервис провайдера. Если организация работает в закрытом контуре без внешней сети или требуется подписывать документы офлайн, остаётся обычная подпись с токеном и локальным криптопровайдером. Поэтому выбор между токеном и облаком — это баланс между мобильностью и независимостью от сети.

Частые ошибки при установке и подписании

Большинство сбоев возникает из-за того, что пропущен один из подготовительных шагов. Разберём, что означает каждая формулировка и куда смотреть.

Ещё две частые причины, которые не дают очевидной ошибки:

• Два криптопровайдера на одном ПК. Если когда-то ставили ViPNet, а теперь перешли на КриптоПро (или наоборот), удалите лишний и перезагрузитесь.
• Подпись настроена под другим пользователем Windows. Сертификаты хранятся в профиле конкретной учётной записи. Если вы зашли под другим пользователем, сертификата в списке не будет — установите его под нужной учётной записью.

Частые вопросы