Новая электронная подпись в 1С 8.3: установка, привязка к отчётности и ЭДО, ошибки

Сменить сертификат ЭЦП в 1С — это три действия: установить новый сертификат в Windows с привязкой к ключу, добавить его в Администрирование → Общие настройки → Электронная подпись и шифрование и переключить на него учётную запись 1С-Отчетности и ЭДО. Старый сертификат при этом не удаляют: он нужен, чтобы открывать документы, зашифрованные до замены.

Путь зависит от того, откуда взялась новая подпись. Если её выпустил ваш удостоверяющий центр через 1С-Отчетность, программа проведёт продление почти сама. Если подпись руководителя получена в ФНС или куплена у другого УЦ, замену придётся делать вручную, по шагам ниже. Инструкция написана для БП 3.0, ЗУП 3.1 и УТ 11 на платформе 8.3: механизм подписи у них общий, из БСП.

Подготовка компьютера к смене сертификата ЭЦП

Большинство сбоев при замене подписи возникает не в 1С, а раньше: в криптопровайдере, драйвере токена или цепочке сертификатов УЦ. Поэтому сначала приведите в порядок рабочее место.

📋 Что проверить до начала:

• 🔐 Криптопровайдер. Для ГОСТ Р 34.10-2012 нужен КриптоПро CSP 5.0 или ViPNet CSP актуальной версии. Номер версии и срок лицензии КриптоПро видны на вкладке «Общие» в его окне.
• 🔑 Драйвер носителя. Для Рутокена — «Драйверы Рутокен», для JaCarta — «Единый клиент JaCarta». Без драйвера токен не появится в списке считывателей.
• 📜 Корневой и промежуточный сертификаты УЦ. Если подпись выдана ФНС, нужны сертификаты УЦ ФНС и Минцифры. Без них Windows не построит цепочку доверия.
• 🧩 Плагин и расширение для браузера — только если вы работаете через веб-клиент или в облаке.
• 💾 Версия 1С. На старых релизах типовой конфигурации форма настроек подписи выглядит иначе, а часть проверок отсутствует. Обновиться перед заменой — разумная мера.

Ещё один момент касается сотрудников. Если отчётность подписывает главбух, а не руководитель, ему понадобится подпись физлица и машиночитаемая доверенность (МЧД) от организации. Доверенность регистрируется отдельно, сертификат её не заменяет.

Установка нового сертификата в Windows и связь с ключом

1С не работает с файлом сертификата напрямую. Она берёт его из личного хранилища Windows, а ключ ищет в контейнере через криптопровайдер. Значит, сертификат должен лежать в хранилище «Личное» и знать, где его закрытый ключ.

Порядок для КриптоПро CSP:

1. Вставьте токен с новой подписью.
2. Откройте КриптоПро CSP, вкладка «Сервис».
3. Нажмите «Просмотреть сертификаты в контейнере», затем «Обзор».
4. Выберите контейнер нового ключа. Ориентируйтесь на считыватель и дату: у свежего контейнера имя обычно содержит дату выпуска.
5. Нажмите «Далее» — откроется карточка сертификата. Сверьте ФИО, ИНН и срок действия.
6. Нажмите «Установить». Сертификат попадёт в «Личное» вместе со ссылкой на ключ.

Проверка: запустите certmgr.msc, раскройте Личное → Сертификаты. Откройте новый сертификат. Внизу вкладки «Общие» должна быть строка о наличии закрытого ключа, а на вкладке «Путь сертификации» — цепочка без красных крестов.

Как в 1С сменить сертификат ЭЦП в настройках подписи

Когда Windows видит новый сертификат, его можно добавить в 1С. Откройте Администрирование → Общие настройки, найдите группу «Электронная подпись и шифрование» и перейдите по ссылке «Настройки электронной подписи и шифрования».

Вкладка «Программы»

Здесь перечислены криптопровайдеры, с которыми работает 1С. Убедитесь, что в списке есть тот, где лежит ключ, и что его тип совпадает с алгоритмом подписи. Если строки нет, добавьте программу или воспользуйтесь автоматической настройкой, если она есть в вашем релизе.

Вкладка «Сертификаты»

1. Нажмите «Добавить» и выберите вариант с установленными на компьютере сертификатами.
2. В списке отметьте новый сертификат. Если там несколько похожих, ориентируйтесь на дату окончания.
3. Введите пароль ключа, когда программа попросит.
4. В открывшейся карточке заполните организацию и при необходимости пользователя, который будет подписывать.
5. Запишите карточку.

Теперь нажмите в карточке «Проверить». 1С последовательно прогонит проверки: наличие сертификата на компьютере, корректность данных, подписание тестовой строки, проверку подписи, шифрование и расшифровку. Все пункты должны быть зелёными. Красный пункт подскажет, на каком этапе сломалось, и это быстрее любой ручной диагностики.

Что делать со старым сертификатом

Старую карточку не удаляйте. Ответы ФНС и СФР, полученные до замены, зашифрованы на старый ключ, и без него их не открыть. Достаточно снять у старого сертификата отметку, позволяющую подписывать, или пометить его как отозванный, если такая возможность есть в карточке.

Где ещё прописан сертификат

Последняя строка часто вылетает из головы. Если в настройках включено подписание или проверка подписи на сервере, сертификат и ключ нужны на компьютере, где работает сервер 1С, причём в хранилище того пользователя, под которым запущена служба.

Перепривязка подписи в 1С-Отчетности и 1С-ЭДО

Добавить сертификат в настройки мало. Отчётность и ЭДО хранят ссылку на конкретный сертификат в своих учётных записях, и пока её не сменить, отправка пойдёт старой подписью или упадёт с ошибкой.

1С-Отчетность

Здесь два сценария:

• Подпись выпущена через 1С-Отчетность. За месяц до окончания срока программа напоминает о продлении. Заявление формируется прямо в 1С, ключ генерируется на вашем компьютере, а после выпуска сертификат подставляется в учётную запись автоматически.
• Подпись получена в ФНС или в стороннем УЦ. Откройте Отчеты → Регламентированные отчеты, затем настройки документооборота организации. Отправьте заявление на изменение параметров подключения с указанием нового сертификата. Пока заявление не одобрено, старая подпись продолжает работать, если её срок не истёк.

После одобрения выполните тест связи с контролирующими органами. Он проверяет и сертификат, и доступ к серверам спецоператора.

1С-ЭДО

Откройте Администрирование → Обмен электронными документами, затем учётную запись ЭДО нужной организации. На вкладке с сертификатами добавьте новый и удалите из списка тот, что истёк. Если оператор ЭДО требует подтверждения, 1С попросит подписать запрос новым ключом.

Токены, контейнеры и реестр Windows

Новый сертификат часто приходит на новом носителе. Иногда удобнее перенести ключ туда, где он не потеряется, — например, в реестр сервера.

Копирование контейнера на другой носитель

В КриптоПро CSP на вкладке «Сервис» есть команда «Скопировать». Выберите исходный контейнер, задайте имя нового и укажите носитель: другой токен, флешку или реестр. После копирования снова выполните «Просмотреть сертификаты в контейнере → Установить» уже для новой копии, иначе сертификат будет ссылаться на старое место.

Ключи, выданные ФНС, часто записаны как неэкспортируемые: скопировать такой контейнер нельзя, это не сбой. Работайте с токена или получайте отдельную подпись для другого рабочего места.

Где КриптоПро хранит контейнеры в реестре

Чтобы реестр появился среди носителей, в КриптоПро на вкладке «Оборудование» должен быть добавлен считыватель «Реестр». Контейнеры пользователя на 64-разрядной Windows лежат здесь:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Settings\Users\<SID пользователя>\Keys

SID текущего пользователя можно узнать командой:

whoami /user

Раздел нужен, чтобы убедиться, что контейнер действительно скопирован, и чтобы сделать резервную копию ключа экспортом ветки. Править значения вручную нельзя: криптопровайдер перестанет их читать.

Ошибки после замены сертификата и их причины

Ниже — сообщения, которые встречаются чаще других сразу после смены подписи. Выберите свой симптом.

Если ничего не помогло

1. Откройте карточку сертификата в 1С и нажмите «Проверить». Запомните первый красный пункт.
2. Проверьте подпись вне 1С — инструментами КриптоПро или на портале проверки подписи. Если и там ошибка, проблема в рабочем месте, а не в программе.
3. Если вне 1С всё работает, а в 1С нет — проверьте тип программы на вкладке «Программы» и включённую галочку подписания на сервере. Она часто включена «по наследству», а на сервере ключа нет.

Смена подписи в облачной 1С

В облаке порядок другой, потому что программа работает в браузере или тонком клиенте на чужом сервере.

Тонкий клиент через интернет. Подписание выполняется на вашем компьютере, поэтому всё описанное выше справедливо: криптопровайдер, токен и сертификат ставятся локально. Галочку подписания на сервере в облаке не включают, у провайдера вашего ключа нет.

Веб-клиент в браузере. Нужны расширение «1С:Предприятие» для браузера и компонента для работы с криптографией. При первом подписании 1С сама предложит их установить. После установки перезапустите браузер, иначе сертификаты не будут видны.

Подпись, хранящаяся в сервисе. В 1С:Фреш и некоторых других облаках есть электронная подпись в модели сервиса: ключ хранится у провайдера, а подписание подтверждается кодом из SMS. Такую подпись нельзя перенести с токена. Новый сертификат выпускают через заявление в самом сервисе, а старый перестаёт работать после окончания срока.

Частые вопросы о замене электронной подписи в 1С