Как установить сертификаты ЭЦП, корневые и SSL в 1С

Чтобы установить сертификаты в 1С, нужны три разных вещи: криптопровайдер (обычно КриптоПро CSP), личный сертификат ЭЦП с закрытым ключом и цепочка доверия — корневой сертификат удостоверяющего центра. Без любого из трёх 1С не увидит подпись или выдаст ошибку проверки.

Сам сертификат вы устанавливаете не внутри 1С, а в хранилище Windows (или Linux) через криптопровайдер. 1С лишь находит уже установленный сертификат и привязывает его к пользователю для отчётности, ЭДО и маркировки.

Ниже — порядок действий: что ставить сначала, как добавить личную подпись, откуда взять корневые сертификаты, как подключить всё это в программе и что делать с SSL при публикации базы по HTTPS.

Какие сертификаты понадобятся и откуда их брать

Для работы в 1С в деле участвуют три типа сертификатов — путать их не стоит:

• 🔑 Личный сертификат (КЭП) — ваша квалифицированная электронная подпись. Именно ею подписывают отчёты в ФНС/СФР, электронные документы и коды маркировки. Содержит закрытый ключ, хранится на токене или в реестре.
• 🏛 Корневые и промежуточные сертификаты УЦ — ими подтверждается, что ваша подпись выдана аккредитованным удостоверяющим центром. Без них Windows считает подпись «ненадёжной».
• 🔒 SSL-сертификат — нужен не для подписи, а для защищённого соединения по HTTPS: при публикации базы на веб-сервере или при обращении 1С к внешним сервисам.

Где взять личную подпись зависит от того, на кого она оформляется:

Корневые сертификаты аккредитованных УЦ и головного удостоверяющего центра Минцифры публикуются в открытом доступе — их выдают вместе с подписью либо скачивают с портала госуслуг. SSL-сертификат для сайта/публикации покупают у центра сертификации или берут бесплатный (например, по протоколу ACME).

Что установить до сертификатов: криптопровайдер и драйверы

Пока в системе нет криптопровайдера, ни один сертификат с закрытым ключом не установится. Поэтому начинаем с него.

1. Установите криптопровайдер. Для большинства российских подписей это КриптоПро CSP; реже встречается ViPNet CSP. Два криптопровайдера одновременно ставить нельзя — они конфликтуют.
2. Поставьте драйверы носителя, если ключ на токене: Рутокен — «Драйверы Рутокен», JaCarta — «Единый клиент JaCarta». Для флешки/реестра драйверы не нужны.
3. Установите расширение для браузера КриптоПро, если планируете подписывать на сайтах ФНС, госуслуг, оператора ЭДО.
4. Для работы 1С с криптографией из программы понадобится внешняя компонента — 1С ставит её сама при первой операции подписания; достаточно согласиться на установку.

Проверить, что криптопровайдер «видит» токен, можно в панели управления КриптоПро: вкладка Оборудование → Настроить считыватели. Если нужного считывателя нет — добавьте его кнопкой Добавить.

Установка личного сертификата ЭЦП

Личный сертификат ставят через панель управления КриптоПро CSP — так подпись попадает в хранилище Личное вместе с привязкой к закрытому ключу.

Если ключ уже на токене или в реестре:

1. Откройте КриптоПро CSP → вкладка Сервис.
2. Нажмите Просмотреть сертификаты в контейнере.
3. Кнопкой Обзор выберите контейнер (имя контейнера на токене обычно совпадает с ФИО или названием организации).
4. В окне с данными сертификата нажмите Установить. Подтвердите замену, если сертификат уже был.

Если у вас только файл сертификата (.cer) и отдельно контейнер:

1. На вкладке Сервис нажмите Установить личный сертификат.
2. Укажите путь к файлу .cer.
3. На шаге выбора контейнера отметьте нужный ключевой носитель.
4. В поле хранилища оставьте Личное и завершите установку.

После этого откройте оснастку сертификатов (certmgr.msc или в КриптоПро Сервис → Просмотреть сертификаты в контейнере) и убедитесь, что у сертификата есть отметка о наличии закрытого ключа — строка вида «Есть закрытый ключ для этого сертификата».

Установка корневых и промежуточных сертификатов УЦ

Корневой сертификат подтверждает цепочку доверия. Если его нет, при проверке подписи вы получите «сертификат не проверен» или «нет доверия к сертификату».

Порядок установки одинаков для корневого и промежуточного сертификатов, отличается только хранилище:

1. Дважды щёлкните по файлу сертификата (.cer или .crt) → Установить сертификат.
2. Выберите расположение Текущий пользователь (или Локальный компьютер — тогда цепочка будет доступна всем учёткам, но нужны права администратора).
3. Отметьте Поместить все сертификаты в следующее хранилище → Обзор.
4. Для корневого сертификата ГУЦ и УЦ выберите хранилище Доверенные корневые центры сертификации.
5. Для промежуточного (кросс-сертификата УЦ) выберите Промежуточные центры сертификации.
6. Завершите мастер. При установке в доверенные корневые Windows переспросит — подтвердите.

Цепочку доверия для аккредитованных УЦ держит головной удостоверяющий центр Минцифры. Если корневой сертификат ГУЦ не установлен, «не проверенными» окажутся вообще все подписи, выданные после перехода на новый корень.

Проверить цепочку просто: откройте личный сертификат двойным щелчком → вкладка Путь сертификации. Если все звенья без красных крестиков и внизу написано «Этот сертификат действителен» — цепочка собрана.

SSL-сертификат при публикации базы по HTTPS

SSL-сертификат нужен в двух случаях: когда вы публикуете базу 1С как веб-клиент по защищённому соединению и когда 1С обращается к стороннему сервису по HTTPS.

При публикации базы. SSL ставится не в 1С, а на веб-сервер, через который опубликована база:

• на IIS — сертификат привязывается к сайту в разделе Привязки (Bindings), тип https, порт 443;
• на Apache — путь к файлам сертификата и ключа прописывают в конфигурации виртуального хоста (директивы SSLCertificateFile и SSLCertificateKeyFile), после чего службу перезапускают.

1С о SSL при этом ничего знать не должна — она отдаёт страницы веб-серверу, а шифрование канала обеспечивает он.

При обращении 1С к внешнему сервису. Если платформа ходит по HTTPS (обмен с сайтом, API, сервис), а соединение падает с ошибкой сертификата, добавьте корневой сертификат удостоверяющего центра этого сервиса в Доверенные корневые центры сертификации — так же, как корень УЦ в разделе выше. В объекте HTTPСоединение есть параметры защищённого соединения, но правильнее добить доверие на уровне хранилища, а не отключать проверку.

Подключение сертификата в самой 1С

Когда сертификат установлен в Windows, остаётся «показать» его программе. Делается это один раз, дальше 1С подхватывает подпись автоматически.

В 1С:Бухгалтерии 8 путь к настройкам ЭДО и отчётности лежит в разделе Администрирование → группа обмена электронными документами; там открывается справочник сертификатов ключей электронной подписи и шифрования. В других типовых конфигурациях (ЗУП, УТ) справочник тот же, открывается из настроек обмена/отчётности.

Чтобы добавить уже установленный сертификат:

1. Откройте список сертификатов ключей электронной подписи.
2. Нажмите Добавить и выберите вариант «сертификат уже установлен на компьютере».
3. В списке найдите нужный сертификат (ориентируйтесь по ФИО владельца и сроку действия) и отметьте его.
4. Укажите владельца — организацию или физлицо — и сохраните.
5. Нажмите Проверить — 1С выполнит тестовое подписание и покажет, всё ли в порядке.

Если планируете сдавать отчётность прямо из программы, настройка идёт через помощник подключения к 1С-Отчётности: он сам проверит криптопровайдер, предложит выбрать сертификат и отправит заявление оператору.

Обновление и удаление сертификатов

Срок действия КЭП — как правило, 12–15 месяцев. За перевыпуском лучше обращаться заранее: по истечении подпись становится недействительной, отчёт ею не подписать.

Обновление (перевыпуск). Новый сертификат устанавливается точно так же, как первый — через Сервис → Установить личный сертификат. Старый при этом из хранилища не исчезает. В 1С добавьте новый сертификат в справочник и выберите его в настройках подписанта; старый пометьте как недействующий, но не удаляйте сразу — им ещё могут проверяться ранее отправленные документы.

Удаление. Чтобы убрать лишний или просроченный сертификат из хранилища Windows:

1. Откройте оснастку certmgr.msc (сертификаты текущего пользователя).
2. Зайдите в раздел Личное → Сертификаты.
3. Найдите нужный, вызовите контекстное меню → Удалить.

Удаление сертификата из хранилища не удаляет закрытый ключ с токена. Чтобы стереть сам контейнер с ключом, используйте КриптоПро CSP: Сервис → Удалить и выберите контейнер. Делайте это только если уверены, что ключ больше не нужен — восстановить его нельзя.

Установка сертификатов в 1С на Linux

На Linux логика та же, меняется инструмент: вместо панели КриптоПро используется консольная утилита certmgr из состава КриптоПро CSP для Linux.

Общий порядок:

• просмотр установленных сертификатов — certmgr -list;
• установка личного сертификата из контейнера выполняется с указанием хранилища uMy;
• корневые сертификаты помещаются в хранилище mRoot.

Точные ключи и форму вызова смотрите в справке самой утилиты: certmgr --help. Синтаксис может отличаться между версиями КриптоПро, поэтому придумывать параметры наугад не стоит — это чаще ломает установку, чем помогает.

Драйверы токенов (Рутокен, JaCarta) под Linux ставятся отдельными пакетами; без них контейнер на аппаратном носителе не прочитается.

Типичные ошибки при установке и их причины

Большинство проблем сводится к трём вещам: нет закрытого ключа, не собралась цепочка доверия или сертификат стоит «не под тем пользователем».

Частые вопросы