КриптоПро CSP и 1С: от дистрибутива до первой подписи
Содержание
Подписывать документы в 1С можно через разные криптопровайдеры, но для сертификатов ГОСТ чаще всего ставят КриптоПро CSP. Порядок один: установить программу, ввести лицензию, поставить сертификат в хранилище с привязкой к закрытому ключу и только потом настраивать подпись в самой 1С. Если пропустить любой шаг, 1С скажет, что «нет подходящих сертификатов» или не найдёт программу подписи.
Ставить КриптоПро нужно на каждый компьютер, где пользователь подписывает документы. Если подпись проверяется или создаётся на сервере 1С (например, в регламентных заданиях или веб-клиенте), провайдер нужен и на сервере. Отдельно от 1С ничего «подключать» не требуется: платформа сама обращается к установленному провайдеру через системные библиотеки.
Подготовка: что проверить до установки
Перед запуском установщика соберите четыре вещи.
- Права. Нужна учётная запись с правами локального администратора. Без них установщик либо не запустится, либо поставит программу с ошибками.
- Версия. Смотрите на то, что написано в сертификате и требованиях вашего оператора ЭДО или ведомства. Для сертификатов по ГОСТ Р 34.10-2012 нужна версия, которая этот алгоритм поддерживает. Устаревшие версии его не поддерживают, поэтому сверьтесь с требованиями УЦ.
- Разрядность. Ставьте КриптоПро той же разрядности, что и система. На 64-разрядной Windows установщик кладёт и 64-битные, и 32-битные компоненты, поэтому клиент 1С любой разрядности её увидит.
- Дистрибутив. Скачивайте только с сайта производителя, из личного кабинета. Для скачивания нужна регистрация. «Сборки» с торрентов и форумов нередко идут с чужим серийным номером или вовсе без лицензии. Это нарушение, и такой софт для подписи юридически значимых документов использовать нельзя.
Закройте 1С и браузер. Если на компьютере уже стоит другой криптопровайдер (например, VipNet CSP), это не помеха, они уживаются, но порядок их приоритета потом придётся проверить в настройках подписи 1С.
Если у вас уже стояла КриптоПро старой версии и вы ставите новую поверх, сначала проверьте, что контейнеры закрытых ключей не лежат только в реестре. Скопируйте их на токен или в отдельную папку. Обновление обычно не ломает контейнеры, но потеря единственного ключа означает перевыпуск сертификата.
Установка программы на компьютер
Запустите скачанный файл от имени администратора (правая кнопка мыши, «Запуск от имени администратора»). Дальше два варианта.
| Вариант | Что ставится | Когда выбирают |
|---|---|---|
| «Установить (рекомендуется)» | Набор компонентов по умолчанию | Обычное рабочее место, подпись в 1С и в браузере |
| «Выбрать установку» (расширенный режим) | Компоненты по списку | Нужны дополнительные модули, например поддержка носителей |
Для рабочего места бухгалтера хватает первого. Нажмите кнопку, дождитесь сообщения о завершении и перезагрузите компьютер, даже если установщик этого не требует. Библиотеки загружаются при старте системы, и без перезагрузки 1С нередко не видит новый провайдер.
После перезагрузки найдите в меню «Пуск» программу «КриптоПро CSP» и откройте её. Если окно открывается и на вкладке «Общие» видна версия, установка прошла.
💡 Если установщик ругается на «уже запущенную установку», завершите в диспетчере задач процессы msiexec.exe и запустите его снова. Это лечит ситуацию, когда предыдущая попытка зависла.
Лицензия: ввод серийного номера и пробный период
Сразу после установки КриптоПро работает в пробном режиме. Срок пробного периода указывает производитель, ориентируйтесь на около трёх месяцев. Дату окончания видно на вкладке «Общие». Когда срок выйдет, подписание прекратится, а в 1С появится ошибка про недействительную лицензию.
Чтобы ввести постоянную лицензию:
- Откройте «КриптоПро CSP» от имени администратора.
- На вкладке «Общие» нажмите «Ввод лицензии».
- Введите имя организации и серийный номер из бланка лицензии (формат из пяти групп символов через дефис).
- Подтвердите ввод и закройте окно. На вкладке «Общие» срок действия должен смениться на постоянный или на дату окончания, указанную в лицензии.
Лицензии бывают двух видов. Первичная привязана к рабочему месту: на один компьютер один серийный номер. Серверная нужна, когда провайдер установлен на сервере, и стоит дороже. Ориентиры по стоимости меняются, поэтому уточняйте цену у продавца. Часто лицензию для рабочего места выдаёт и сам удостоверяющий центр вместе с сертификатом.
Ввести номер не получается? Проверьте, что вы не перепутали ноль и букву «О», а программа открыта именно от администратора. Лицензия для рабочего места не подойдёт серверной версии продукта и наоборот.
Сертификат и контейнер закрытого ключа
Здесь чаще всего и ломается. Сертификат (открытая часть) и закрытый ключ хранятся отдельно, и 1С подписывает только тогда, когда они связаны.
Где может лежать закрытый ключ:
- 🔑 на токене (Рутокен, JaCarta и подобные носители);
- 📁 в папке или на флешке (контейнер из нескольких файлов с расширением
.key); - 🗂 в реестре Windows (так делает удостоверяющий центр при записи «на компьютер»).
Проверка контейнера
В «КриптоПро CSP» откройте вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере». Выберите контейнер через кнопку «Обзор». Если контейнер виден и в нём есть сертификат, ключ доступен. Если контейнер не открывается, значит носитель не подключён, не установлен драйвер токена либо контейнер скопирован не полностью.
Установка сертификата в личное хранилище
Если сертификат в контейнере есть, но в хранилище «Личное» его нет:
- На вкладке «Сервис» нажмите «Просмотреть сертификаты в контейнере» и выберите контейнер.
- В окне сертификата нажмите «Установить».
- Если в контейнере сертификата нет, а у вас есть файл
.cer, используйте на той же вкладке пункт «Установить личный сертификат». Он свяжет файл с закрытым ключом, подскажет искать контейнер автоматически. - Хранилище оставьте «Личные».
После этого откройте оснастку «Сертификаты» (certmgr.msc) и убедитесь, что в разделе «Личное» сертификат отображается с значком ключа. Значок означает, что закрытый ключ привязан. Без значка подписать документ не получится, сколько бы раз вы ни ставили сертификат.
Корневой сертификат удостоверяющего центра и цепочку доверия тоже необходимо установить: в разделе «Доверенные корневые центры сертификации» должен быть корневой сертификат УЦ. Его берут на сайте вашего удостоверяющего центра. Без него сертификат будет помечен как недоверенный, и проверка подписи не пройдёт.
Не передавайте закрытый ключ, пароль к контейнеру и пин-код токена никому, включая «сотрудников поддержки» по телефону. Тот, у кого есть ключ, подписывает документы вашим именем.
Настройка подписи в самой 1С
Сама 1С не хранит ни сертификатов, ни ключей. Ей нужно знать, какую программу использовать и какой тип криптографии у неё выбран.
Настройка находится в разделе Администрирование. В типовых конфигурациях (БП 3.0, ЗУП 3.1, УТ 11) откройте этот раздел и найдите настройку электронных подписей и шифрования: быстрее всего через поиск по форме командой поиска в окне. Дальше нужно проверить закладку «Программы».
Что должно быть в списке:
- программа «КриптоПро CSP» с типом, соответствующим вашему сертификату;
- для сертификата по ГОСТ 2012 с ключом 256 бит тип
80, для ключа 512 бит тип81, для старого ГОСТ 2001 тип75.
Если программы в списке нет, добавьте её кнопкой «Добавить» и укажите имя программы и тип. Список можно заполнить и автоматически, нажав кнопку проверки или автоматической настройки: 1С сама обращается к системе и находит установленные провайдеры. Если провайдер не найден, значит КриптоПро не установлен или не загрузился, и надо вернуться на два шага назад.
Подпись пользователь выбирает в самом документе: нажимает «Подписать», в окне выбирает сертификат из личного хранилища и вводит пароль от контейнера, если он задан. Список сертификатов в окне пуст? Тогда сертификат не попал в «Личное» либо у него нет привязки к закрытому ключу.
Если подпись нужна на сервере
В серверном режиме проверку и создание подписей выполняет сервер 1С, поэтому ему нужен собственный КриптоПро, лицензия серверного типа и установленные сертификаты в хранилище той учётной записи, от которой работает служба сервера 1С. Сертификат, установленный в профиле пользователя, служба не увидит. В настройках электронной подписи при этом включают создание и проверку подписи на сервере. Службу при этом перезапускать нужно только после установки провайдера и только когда нет активных сеансов: перезапуск оборвёт их у всех пользователей, поэтому делайте это вне рабочего времени.
Диагностика: типовые ошибки и что с ними делать
Начинайте всегда с одной цепочки проверки: провайдер виден в «КриптоПро CSP» → контейнер открывается → сертификат в «Личном» со значком ключа → корневой сертификат УЦ установлен → лицензия действует → в настройках 1С есть нужная программа.
certmgr.msc и проверьте. Если значка нет, выполните «Установить личный сертификат» через вкладку «Сервис» и укажите контейнер.Если ни один пункт не подошёл, полезно создать подпись в самом «КриптоПро CSP» на вкладке «Сервис», а также в программе проверки подписи вашего УЦ. Подпись получилась там, но не получается в 1С, значит проблема в настройках платформы. Не получилась нигде, значит неисправность на уровне провайдера, ключа или лицензии.
Что сделать, чтобы подпись не слетела через год
Типовые причины «внезапных» поломок известны заранее, и большинство предотвращается дешёвыми привычками.
Ещё одна причина сбоев — обновления Windows и смена версии КриптоПро. После крупного обновления системы проверяйте тестовую подпись заранее, а не в день сдачи отчёта. Срок действия сертификата ключа проверки подписи обычно составляет около года, срок закрытого ключа может отличаться. Продлевайте сертификат заранее, чтобы не остаться без подписи в день отчётности.