Сертификат электронной подписи в 1С 8.3: от токена до первой подписанной отправки

Чтобы загрузить сертификат в 1С, сначала установите его в Windows через криптопровайдер (КриптоПро CSP или ViPNet CSP), а затем добавьте в программу: Администрирование → Общие настройки, раздел «Электронная подпись и шифрование», ссылка на настройки, вкладка «Сертификаты», кнопка Добавить → вариант «Из установленных на компьютере». Выберите сертификат, введите пароль (ПИН-код) и нажмите кнопку добавления. После этого нажмите Проверить в карточке — программа подпишет тестовые данные и покажет, всё ли работает.

Порядок одинаков для 1С:Бухгалтерии 3.0, ЗУП 3.1, УТ 11 и других конфигураций на Библиотеке стандартных подсистем: механизм электронной подписи у них общий. Отличаются только места, где сертификат потом выбирают, — ЭДО, 1С-Отчетность, маркировка.

Что проверить до загрузки сертификата в 1С

1С сама сертификаты не выпускает и не хранит закрытые ключи. Она работает через криптопровайдер, установленный на компьютере. Поэтому почти все сбои при загрузке — это проблемы Windows, а не 1С.

Перед тем как открывать программу, пройдитесь по списку:

• 🔑 Криптопровайдер установлен и лицензия активна. У КриптоПро CSP пробный период — 3 месяца. После него подпись перестаёт работать, хотя сертификат виден.
• 💾 Есть закрытый ключ. Сертификат в виде одного файла .cer без контейнера — это только открытая часть. Подписывать им нельзя, только шифровать данные для владельца.
• 🧩 Драйвер носителя. Для Рутокена и JaCarta нужен драйвер производителя, иначе криптопровайдер не увидит контейнер.
• 📅 Срок действия. Откройте сертификат двойным щелчком: на вкладке «Общие» указан период «Действителен с … по …».
• 🔗 Цепочка доверия. В свойствах сертификата на вкладке «Путь сертификации» не должно быть красных крестиков. Если они есть, установите корневой и промежуточный сертификаты удостоверяющего центра.
• 🌐 Разрядность. Для 64-битного клиента 1С криптопровайдер тоже должен поддерживать 64 бита. Актуальные версии КриптоПро ставят обе части сразу.

Как добавить сертификат в 1С: три способа

В карточке настроек электронной подписи кнопка Добавить предлагает несколько вариантов. Набор зависит от релиза БСП, но основные есть везде.

Пошагово: добавление установленного сертификата

1. Откройте Администрирование → Общие настройки и разверните раздел «Электронная подпись и шифрование».
2. Включите флажок использования электронных подписей, если он снят.
3. Перейдите по ссылке настроек подписи и шифрования, вкладка «Сертификаты».
4. Нажмите Добавить → «Из установленных на компьютере».
5. В списке отметьте нужный сертификат. Ориентируйтесь на ФИО владельца, организацию и дату окончания.
6. Укажите организацию, если программа не подставила её сама.
7. Введите пароль закрытого ключа. Для токена это ПИН-код.
8. Нажмите кнопку добавления. Сертификат появится в списке.

Флажок «Запомнить пароль» удобен, но действует только до конца сеанса. Хранить ПИН в открытом виде 1С не умеет и не должна.

Если работаете в веб-клиенте

В браузере 1С не видит криптопровайдер напрямую. Нужно расширение для работы с 1С:Предприятием и компонента криптографии. Программа сама предложит установить их при первом обращении к подписи. После установки перезапустите браузер, затем повторите шаги выше.

Сертификат на Рутокене и JaCarta: что сделать в Windows

Ключ на токене часто лежит «спрятанным»: контейнер есть, а сертификата в личном хранилище нет. Тогда 1С покажет пустой список. Лечится установкой сертификата из контейнера.

Через КриптоПро CSP:

1. Вставьте токен и откройте «КриптоПро CSP» от имени обычного пользователя.
2. Вкладка «Сервис» → «Просмотреть сертификаты в контейнере».
3. Нажмите «Обзор» и выберите контейнер на токене (в имени будет Rutoken или JaCarta).
4. Нажмите «Далее», затем «Установить».
5. Если программа спросит хранилище — выберите «Личное» текущего пользователя.

Есть и обратная ситуация: у вас файл .cer и токен с ключом, но связки нет. Тогда используйте на той же вкладке «Сервис» команду «Установить личный сертификат», укажите файл, а потом — контейнер на носителе.

Что важно для токенов:

• 🔌 Драйвер ставьте с сайта производителя токена. Для Рутокена — «Драйверы Рутокен», для JaCarta — «Единый клиент JaCarta».
• 🔢 ПИН по умолчанию у новых токенов стандартный (у Рутокена пользовательский — 12345678). Если УЦ выдал токен со своим ПИНом, используйте его.
• 🚫 После нескольких неверных ПИНов токен блокируется. Разблокировать его можно ПИН-кодом администратора в панели управления производителя, а не в 1С.
• 🖥️ На терминальном сервере токен пробрасывают в сессию RDP. Проверьте, что в настройках подключения разрешены смарт-карты.

Не копируйте закрытый ключ с защищённого токена на флешку или в реестр «для удобства». Ключи КЭП, выданные УЦ ФНС, часто вообще неэкспортируемые, а копия на незащищённом носителе — прямой риск подписания документов без вашего ведома.

Как убедиться, что сертификат загружен правильно

Откройте карточку сертификата в списке и нажмите Проверить. Программа попросит пароль и выполнит серию проверок: наличие сертификата в личном списке, его данные, программу криптографии, подписание, проверку подписи, шифрование и расшифровку.

Зелёные отметки по всем строкам — значит, всё готово. Красная строка подскажет, на каком этапе сбой. Щёлкните по ней, чтобы увидеть полный текст ошибки.

Что ещё посмотреть в карточке:

• 👤 Кому выдан и организация — совпадают ли с той фирмой, от имени которой подписываете.
• ⏳ Действителен до — дата важна для ЭДО и отчётности, у которых своя проверка срока.
• 🧾 Назначение — «Подписание» и «Шифрование». Сертификат только для шифрования подписать документ не даст.
• 👥 Пользователь — кому из пользователей базы доступен сертификат. Если поле пустое, сертификат виден всем.

Частые ошибки при загрузке сертификата и их решения

Отдельная ловушка — подписание на сервере. В клиент-серверной базе можно включить проверку и подписание на стороне сервера 1С. Тогда криптопровайдер и сертификат нужны на сервере, а не только у пользователя. Если ошибка возникает только у одного вида операций, проверьте эти флажки в разделе «Электронная подпись и шифрование».

Для чего сертификат используют в 1С и где его выбрать

Загрузка сертификата в программу — только половина дела. Каждый сервис привязывает его к своей учётной записи или профилю.

Подпись сотрудника, а не руководителя, с сентября 2024 года работает вместе с машиночитаемой доверенностью (МЧД). В 1С её загружают отдельно от сертификата и связывают с ним. Без МЧД сертификат сотрудника для отчётности и ЭДО с контрагентами не годится, даже если в 1С он проверку прошёл.

А если нужен SSL-сертификат, а не подпись

SSL-сертификаты в настройки электронной подписи не загружают. Это другой механизм, и путать их не стоит:

• 🌍 Публикация базы на веб-сервере по HTTPS. Сертификат ставят в IIS или Apache, в самой 1С ничего не меняется.
• 🔒 Обращение 1С к внешнему сайту по HTTPS. Разработчик указывает защищённое соединение в коде обмена. Корневые сертификаты берутся из хранилища Windows или из файла.
• 🪪 Клиентский сертификат для банка или сервиса. Его подключают в настройках конкретной интеграции, например в обмене с банком.

Перевыпуск сертификата: замена старого на новый

Срок действия ключа КЭП обычно 1 год или 15 месяцев. За 2–3 недели до окончания программа начинает напоминать о скором истечении. Перевыпуск планируйте заранее: УЦ ФНС выдаёт КЭП руководителю только при личном визите.

Порядок замены:

1. Получите новый сертификат и установите его в Windows так же, как первый.
2. Добавьте его в 1С через Добавить → «Из установленных на компьютере».
3. Запустите Проверить в новой карточке.
4. Переключите сертификат в 1С-Отчетности: подайте заявление на изменение параметров подключения и укажите новый сертификат.
5. Замените сертификат в учётной записи ЭДО и в настройках маркировки.
6. Старый сертификат не удаляйте — пометьте как отозванный или просто оставьте.

Зачем оставлять старый? По нему 1С проверяет подписи под документами, подписанными до замены. Удалите — и при открытии старых документов увидите предупреждения о невозможности проверки.

Частые вопросы