Выгрузка сертификата и закрытого ключа ЭП из 1С на другой ПК

Бухгалтер меняет компьютер и хочет «вытащить» электронную подпись из 1С, чтобы перенести её на новую машину. Открытый сертификат из 1С выгружается в файл .cer за минуту, а вот сам ключ подписи там не лежит — 1С только ссылается на сертификат, установленный в хранилище Windows, а закрытый ключ хранит криптопровайдер (обычно КриптоПро CSP) в отдельном контейнере на токене или в реестре.

Поэтому «выгрузить ЭП» на практике — это две разные задачи: сохранить открытый сертификат для отправки контрагенту и скопировать закрытый ключ, чтобы подписывать документы на другом ПК или в браузере. Разберём обе, с точными путями меню.

Что реально хранится в 1С, а что — в криптопровайдере

1С не содержит ни закрытого ключа, ни пароля к нему. В списке сертификатов программа держит лишь ссылку на сертификат, уже установленный в личном хранилище Windows (Личное). Подписание 1С выполняет не сама — она передаёт данные криптопровайдеру.

Разложим по полкам, где что лежит:

• 🔑 Закрытый ключ — в контейнере КриптоПро CSP: на токене (Рутокен, JaCarta), флешке или в реестре Windows. Из 1С недоступен.
• 📄 Открытый сертификат (.cer) — публичная часть. Есть и в 1С, и в хранилище Windows. Его можно свободно отдавать контрагенту.
• ⚙️ Настройка в 1С — запись, связывающая сертификат, организацию и пользователя. При переносе на новый ПК настройку не копируют, а создают заново.

Чтобы не ошибиться с тем, что именно вам нужно, пройдите короткую развилку.

Готовим рабочее место: проверяем сертификат и программу подписи

Перед выгрузкой убедитесь, что сертификат вообще виден системе и не истёк.

1. Откройте Администрирование → Обмен электронными документами.
2. Перейдите по ссылке настроек электронной подписи и шифрования.
3. На закладке Сертификаты найдите нужную запись. Если строка выделена серым или помечена как недействующая — срок действия истёк, выгружать смысла нет.
4. На закладке с программами проверьте, что установлен криптопровайдер (КриптоПро CSP или VipNet CSP) и он определился без ошибок.

Вставьте токен или подключите носитель с ключом до запуска 1С. Если подпись хранится в реестре, носитель не нужен, но ключ должен быть установлен на этом же компьютере.

Если программа подписи не определилась, 1С не покажет приватные операции с сертификатом. Сначала наладьте криптопровайдер, потом возвращайтесь к выгрузке.

Сохраняем открытый сертификат (.cer) из карточки 1С

Открытая часть нужна, когда контрагент просит «пришлите ваш сертификат» или оператор ЭДО настраивает роуминг.

1. В списке на закладке Сертификаты откройте нужную запись двойным щелчком.
2. В командной панели карточки сертификата найдите команду сохранения в файл — она выгружает открытую часть в формате .cer.
3. Укажите папку и имя файла. Вес файла — несколько килобайт.

Если в вашем релизе такой команды в карточке нет, тот же .cer возьмите из хранилища Windows: Win+R → certmgr.msc → Личное → Сертификаты → правой кнопкой по сертификату → Все задачи → Экспорт → на шаге про закрытый ключ выберите «Нет, не экспортировать закрытый ключ».

При экспорте через certmgr.msc мастер предложит кодировку: DER или Base-64. Если контрагент или оператор ЭДО не уточнил формат, выбирайте Base-64 — его принимают веб-сервисы и большинство порталов. DER — бинарный вариант, нужен реже.

Проверьте срок действия перед отправкой: если сертификат просрочен, контрагент не сможет зашифровать для вас документ, а оператор ЭДО отклонит настройку роуминга. Срок виден в свойствах сертификата в поле «Действителен по».

Копируем закрытый ключ на другой компьютер

Это главная часть переноса. Файл из 1С тут не поможет — работаем через КриптоПро CSP. Способ зависит от того, помечен ли ключ как экспортируемый.

Вариант 1. Копирование контейнера средствами КриптоПро

Подходит всегда, когда ключ лежит в реестре или на флешке и его можно читать.

1. Откройте Пуск → КриптоПро CSP.
2. Перейдите на вкладку Сервис.
3. Нажмите Скопировать… и выберите исходный контейнер (кнопка Обзор).
4. Задайте имя копии и укажите носитель-приёмник: другой токен, флешку или реестр.
5. Введите пароль (pin) контейнера, если он задан.

Дальше перенесите носитель на новый ПК (или скопируйте контейнер из реестра через тот же Сервис → Скопировать). На целевой машине установите сертификат командой Просмотреть сертификаты в контейнере → Установить.

Есть нюанс: контейнер в реестре привязан к конкретному профилю Windows. Если на старой машине вы работали под одной учётной записью, а ключ записан «только для текущего пользователя», другому пользователю того же ПК он не виден. При копировании на флешку или токен это ограничение снимается — носитель читается из любого профиля, где установлен КриптоПро.

Вариант 2. Экспорт в файл .pfx через хранилище Windows

Подходит, если при выпуске ключ пометили как экспортируемый (чаще так делают для «облачных» и программных подписей, реже — для токенов).

1. Win+R → certmgr.msc → Личное → Сертификаты.
2. Правой кнопкой по сертификату → Все задачи → Экспорт.
3. На шаге про закрытый ключ выберите «Да, экспортировать закрытый ключ».
4. Формат — PKCS #12 (.PFX), включите «Экспортировать все расширенные свойства».
5. Задайте пароль на файл — он понадобится при установке на новом ПК.

Если пункт «Да, экспортировать закрытый ключ» неактивен — ключ неэкспортируемый (типично для токенов Рутокен и JaCarta). Тогда работает только Вариант 1 с копированием контейнера на другой защищённый носитель.

Форматы файлов: cer, pfx и контейнер — в чём разница

Путаница в форматах — причина половины неудачных переносов. Короткая шпаргалка:

Устанавливаем подпись на новом ПК и в браузере

После копирования ключа подпись нужно «собрать» на целевой машине.

На новом компьютере:

1. Установите тот же криптопровайдер (КриптоПро CSP) той же или более новой версии — номер не ниже исходного.
2. Подключите носитель с контейнером либо восстановите контейнер из .pfx (двойной клик по файлу → мастер импорта → ввод пароля).
3. Через КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере → Установить привяжите сертификат к ключу.
4. Запустите 1С и на закладке Сертификаты добавьте сертификат заново — программа подхватит его из хранилища Windows.

Для подписания в браузере (Яндекс Браузер, Chrome — порталы ФНС, госзакупки):

1. Сертификат должен быть установлен в хранилище Личное (см. выше).
2. Поставьте расширение КриптоПро ЭЦП Browser plug-in.
3. Перезапустите браузер и проверьте подпись на тестовой странице криптопровайдера.

Отдельный файл для браузера выгружать не нужно — он работает с тем же контейнером через КриптоПро. Если портал «не видит» подпись, проверьте, что плагин включён в настройках расширений браузера, а сам сертификат — в хранилище Личное, а не Доверенные или Промежуточные.

Когда подпись выгрузить нельзя: облачная ЭП и ключ от ФНС

Не каждую подпись в принципе можно скопировать. Это нормально и задумано ради безопасности — не тратьте часы на поиск «секретной кнопки экспорта».

• ☁️ Облачная подпись (работает через сервис DSS, подтверждается по SMS или в мобильном приложении). Закрытый ключ физически лежит на сервере удостоверяющего центра, на вашем компьютере его нет. Выгрузить или скопировать такой ключ невозможно — для нового ПК просто настраивают доступ к тому же облаку.
• 🏛️ Подпись руководителя от ФНС. Её записывают на токен как неэкспортируемую. Скопировать ключ в реестр или в .pfx не получится — для второго рабочего места нужен либо сам токен, либо отдельный выпуск машиночитаемой доверенности (МЧД) на сотрудника с его собственной подписью.
• 🔐 Токены с аппаратной защитой (Рутокен ЭЦП 2.0, JaCarta-2) в режиме неизвлекаемого ключа. Контейнер остаётся внутри токена, копированию не поддаётся.

Для подписи от ФНС перенос «на второй компьютер» решается не копированием ключа, а выдачей отдельной подписи сотруднику и оформлением МЧД по формату ФНС. Это законный путь, когда документы должны подписываться с нескольких рабочих мест.

Типичные ошибки при выгрузке и переносе

Безопасность и хранение: что нельзя терять

Закрытый ключ — это и есть ваша подпись. Кто владеет контейнером и паролем, тот подписывает от вашего имени. По закону 63-ФЗ владелец обязан обеспечивать конфиденциальность ключа.

Несколько правил, которые экономят от неприятностей:

• 🔒 Файл .pfx храните под паролем и удаляйте с промежуточных носителей после переноса.
• 💾 Сделайте резервную копию контейнера на отдельный защищённый носитель — при поломке токена перевыпуск занимает дни.
• 🚫 Не пересылайте .pfx или контейнер через мессенджеры и открытую почту.
• 📝 Старый ПК перед передачей другому сотруднику очистите: удалите контейнер из реестра (КриптоПро CSP → Сервис → Удалить контейнер) и сертификат из хранилища.

Частые вопросы