Настройка электронной подписи в 1С: от криптопровайдера до ЭДО

Чтобы 1С подписывала отчёты и электронные документы , нужно пройти три шага подряд: поставить криптопровайдер, занести сертификат в личное хранилище Windows и добавить его в настройках подписи самой программы. Если пропустить хотя бы один, сертификат в списке 1С либо не появится, либо даст ошибку при проверке.

Порядок один и тот же для 1С:Бухгалтерии 3.0, ЗУП 3.1 и Управления торговлей 11 — настройки электронной подписи в них живут в одном и том же разделе. Ниже — весь путь от пустого компьютера до рабочей подписи, с точными пунктами меню и разбором того, что чаще всего ломается.

Что должно стоять на компьютере до начала

1С сама ничего не шифрует — она обращается к криптопровайдеру, установленному в системе. Без него ни один сертификат работать не будет.

Криптопровайдер выбирают по типу вашего сертификата. Их нельзя смешивать: сертификат, выпущенный под КриптоПро, не заработает через VipNet, и наоборот.

• 🔐 КриптоПро CSP — самый распространённый, его требует большинство удостоверяющих центров и ФНС.
• 🔐 VipNet CSP — встречается реже, бесплатен для части пользователей.
• 🔐 Signal-COM CSP — отдельные ведомственные случаи.

Для работы в браузере и тонком клиенте дополнительно понадобятся расширение для работы с криптографией и плагин КриптоПро (КриптоПро ЭЦП Browser plug-in). В толстом клиенте на Windows хватает самого криптопровайдера.

Сам сертификат к моменту установки у вас уже должен быть на руках — его выпускает удостоверяющий центр. Квалифицированную подпись для руководителя организации с 2022 года выдаёт только удостоверяющий центр ФНС или его доверенные лица, для сотрудников и физлиц — аккредитованные коммерческие УЦ. На каком носителе лежит ключ — токен, флешка или реестр — для 1С роли не играет; важно лишь, чтобы криптопровайдер этот ключ видел.

Как занести сертификат в хранилище Windows

1С берёт сертификаты из личного хранилища текущего пользователя Windows. Главное условие: сертификат должен быть связан с контейнером закрытого ключа, иначе подписать им ничего не выйдет — программа увидит сертификат, но не найдёт к нему ключ.

Самый надёжный способ — ставить сертификат прямо из контейнера через КриптоПро.

1. Откройте Пуск → КриптоПро CSP → вкладка «Сервис».
2. Нажмите Просмотреть сертификаты в контейнере.
3. Через Обзор выберите контейнер на носителе и нажмите Далее.
4. На карточке сертификата нажмите Установить.

При таком способе связь «сертификат ↔ закрытый ключ» создаётся автоматически. Сертификат попадёт в личное хранилище и сразу будет пригоден для подписи.

Проверить, что всё встало правильно, можно там же: Просмотреть сертификаты в контейнере должно показывать ваш сертификат, а в его свойствах — строку о том, что есть закрытый ключ для этого сертификата.

Сертификаты удостоверяющего центра

Одной установки личного сертификата мало, если на компьютере нет сертификатов удостоверяющего центра. Криптография выстраивает цепочку доверия от вашего ключа до корневого центра, и без промежуточных сертификатов УЦ подпись проверяться не будет.

Корневой и промежуточные сертификаты скачивают на сайте своего удостоверяющего центра и ставят в хранилище Доверенные корневые центры сертификации. После этого откройте свойства вашего сертификата: на вкладке Путь сертификации вся цепочка должна быть выстроена без восклицательных знаков и пометок об ошибке.

Копировать ключ с флешки или оставить на токене

Если закрытый ключ лежит на обычной флешке, контейнер можно скопировать в реестр компьютера: вкладка Сервис → Скопировать. Тогда подпись перестанет зависеть от вставленного носителя, а значит, не слетит, если флешку забыли дома.

Для защищённых токенов (Rutoken, eToken) копирование закрытого ключа обычно запрещено производителем — они и придуманы для того, чтобы ключ физически не покидал устройство. Это не поломка, а штатное поведение: такой ключ носят с собой.

Добавление сертификата в настройках 1С

После установки в Windows сертификат нужно показать программе. В типовых конфигурациях путь одинаковый:

Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования.

Дальше:

1. Перейдите на вкладку Сертификаты.
2. Нажмите Добавить → Из установленных на компьютере.
3. Выберите свой сертификат из списка личного хранилища.
4. Укажите организацию и, если нужно, пользователя-владельца.
5. Нажмите Добавить.

1С проверит, что программа может работать с этим сертификатом: попросит пароль (пин-код) контейнера и выполнит тестовую подпись. Если тест прошёл — сертификат готов.

Если на этом шаге 1С пишет, что не удалось создать криптографический объект — значит, криптопровайдер в системе не найден или установлен не тот. Вернитесь к первому разделу.

Проверка, что подпись действительно работает

Тестовая подпись при добавлении сертификата проверяет только связку «1С — криптопровайдер — ключ». Этого достаточно, чтобы убедиться: программа ключ видит и может им подписать.

В том же окне Настройки электронной подписи и шифрования на вкладке Программы есть проверка установленных криптопровайдеров. Если напротив вашего стоит отметка о работоспособности — на уровне компьютера всё в порядке.

Для работы через браузер и тонкий клиент пройдите проверку ещё и на стороне плагина: откройте страницу проверки КриптоПро ЭЦП Browser plug-in и убедитесь, что браузер видит и плагин, и ваш сертификат. Частая картина: в толстом клиенте подпись идёт, а в вебе нет — значит, дело именно в браузерном плагине и расширении, а не в сертификате.

Три признака, что сертификат установлен полностью:

• ✅ в свойствах сертификата видна строка про закрытый ключ;
• ✅ вкладка Путь сертификации построена без ошибок;
• ✅ тестовая подпись в 1С прошла без запроса недостающих компонентов.

Выбор сертификата для отчётности и ЭДО

Один и тот же сертификат обычно используется и для сдачи отчётности, и для обмена электронными документами, но указывается он в двух разных местах.

Для 1С-Отчётности. Сертификат задаётся при настройке подключения. Зайдите в Отчёты → 1С-Отчётность и откройте настройки обмена с контролирующими органами. В заявлении на подключение или в параметрах уже подключённого документооборота выбирается сертификат, которым будут подписываться отчёты в ФНС, СФР и Росстат.

Для ЭДО. Профиль настроек обмена с контрагентами использует сертификат из того же справочника. Откройте Администрирование → Обмен электронными документами → Обмен с контрагентами, настройте профиль ЭДО и укажите сертификат для подписи исходящих документов.

Разные роли документов требуют разной подписи:

Если от имени организации подписывает сотрудник по доверенности, к подписи прикладывается машиночитаемая доверенность (МЧД). Её формат задаёт ФНС, оператор ЭДО на него не влияет.

В справочнике сертификатов 1С хранит все добавленные ключи списком. Для каждого можно указать организацию и ответственного пользователя — тогда при подписании программа подставит нужный сертификат сама, без выбора из десятка чужих. Это особенно выручает, когда в одной базе ведётся несколько юрлиц и у каждого свой ключ.

Разбор типичных ошибок подключения

Большинство сбоев при подписи сводится к нескольким причинам. Сопоставьте текст ошибки с таблицей ниже, прежде чем переустанавливать всё заново.

Отдельно про системное время: криптография сверяет срок действия сертификата с часами компьютера. Если дата на машине сбита на год вперёд или назад, вполне рабочий сертификат будет считаться просроченным или ещё не вступившим в силу.

Облачный сертификат: когда ключа нет на столе

Облачный сертификат хранится не на токене у вас, а на сервере оператора. Подпись выполняется на той стороне, а подтверждается кодом из СМС или нажатием в мобильном приложении. Носитель и установка криптопровайдера в этом случае не нужны — работать можно с любого устройства.

В 1С облачная подпись настраивается в том же разделе Настройки электронной подписи и шифрования, но при добавлении выбирается не локальный сертификат из хранилища, а подключение к сервису подписи. Дальше программа запрашивает учётные данные сервиса и привязывает облачный сертификат к организации.

Чем облачный вариант отличается на практике:

• 📱 Подпись подтверждается кодом из СМС или в приложении — токен не нужен.
• 💻 Работает с любого компьютера и из веб-клиента без установки плагинов на каждой машине.
• 🔁 Удобно, когда подписывают несколько человек или часто меняется рабочее место.
• ⏳ Каждая подпись требует подтверждения, поэтому для массового подписания сотен документов локальный ключ быстрее.

Чтобы подключить облачный сертификат, нужна учётная запись у оператора такого сервиса — выпуск и хранение ключа идут на его стороне. Поэтому переставить облачный ключ в другую программу так же просто, как вынуть токен, не выйдет: он привязан к конкретному сервису подписи.

Облачная подпись не подойдёт там, где документ нужно подписывать полностью автономно — без доступа в интернет и без подтверждения с телефона, например на изолированных рабочих местах. В таких случаях остаётся локальный ключ на токене.

Частые вопросы