Новая подпись для документооборота в 1С: от ключа на токене до первой отправки

Чтобы установить новый сертификат в 1С ЭДО, сделайте три вещи по порядку: поставьте сертификат в личное хранилище Windows через КриптоПро, добавьте его в 1С в Администрирование → Обмен электронными документами → Настройки электронной подписи и шифрования, затем подключите его к учётной записи ЭДО и выполните проверку. Старый сертификат не удаляйте: им подписаны уже отправленные документы.

Сценариев замены обычно два. Первый — плановое продление: у того же человека заканчивается срок подписи, и он получает новую. Второй — смена подписанта: ушёл директор или сменился ответственный сотрудник. Во втором случае к сертификату добавляется вопрос с машиночитаемой доверенностью (МЧД), а в первом её чаще всего трогать не нужно.

Что подготовить до смены ключа подписи

Замену лучше начинать за 1–2 недели до окончания старого сертификата. Тогда обе подписи какое-то время действуют одновременно, и отправку можно проверить без спешки.

Что понадобится на руках:

• 🔑 носитель с новым ключом (Рутокен, JaCarta, флешка) или сведения о контейнере, если ключ уже записан в реестр;
• 📄 файл сертификата .cer, если удостоверяющий центр выдал его отдельно;
• 💻 доступ к компьютеру с правами на установку сертификатов (для КриптоПро хватает прав обычного пользователя, для корневых сертификатов УЦ нужны права администратора);
• 🔐 пароль администратора 1С или пользователь с правом менять настройки ЭДО;
• 📋 ПИН-код носителя. У Рутокена стандартный ПИН пользователя 12345678, у JaCarta — 1234567890, если его не меняли при выдаче.

Какой сертификат нужен, зависит от того, кто подписывает:

Последний пункт важен для ключей, выпущенных по ГОСТ 2012. Старые сборки КриптоПро CSP 3.x и ранние 4.0 с ними работают плохо, поэтому перед заменой проверьте версию в программе КриптоПро CSP на вкладке «Общие». Лицензию КриптоПро тоже проверьте: пробный период длится 90 дней, после этого подписание перестанет работать.

Как установить новый сертификат на компьютер

1С сама не хранит ключи. Она обращается к криптопровайдеру и личному хранилищу сертификатов Windows. Поэтому первый шаг всегда делается вне 1С.

Установка через КриптоПро CSP

1. Вставьте носитель в компьютер.
2. Откройте Пуск → КриптоПро → КриптоПро CSP, вкладка «Сервис».
3. Нажмите «Просмотреть сертификаты в контейнере» и выберите контейнер нового ключа через «Обзор».
4. Проверьте в окне владельца, срок действия и издателя. Это должен быть именно новый сертификат.
5. Нажмите «Установить». Сертификат попадёт в хранилище «Личное» текущего пользователя.

Если сертификат выдан отдельным файлом, на шаге 3 используйте кнопку «Установить личный сертификат» и укажите .cer. Программа сама найдёт подходящий контейнер.

Как убедиться, что сертификат встал правильно

Откройте certmgr.msc (Win+R → certmgr.msc) и раскройте Личное → Сертификаты. Двойной щелчок по новому сертификату покажет внизу вкладки «Общие» строку «Есть закрытый ключ для этого сертификата». Если строки нет — сертификат установлен без связи с контейнером, и подписывать им 1С не сможет. Повторите установку через «Просмотреть сертификаты в контейнере».

На вкладке «Путь сертификации» вся цепочка должна быть без красных крестов. Красный крест у корневого или промежуточного сертификата — тема раздела про защищённое соединение ниже.

Как добавить новый сертификат в 1С и подключить его к ЭДО

Дальше два действия: зарегистрировать сертификат в справочнике программы и разрешить его использование в учётной записи ЭДО.

Регистрация сертификата в программе

Порядок действий одинаковый:

1. Откройте вкладку «Сертификаты».
2. Нажмите «Добавить» и выберите вариант добавления из установленных на компьютере.
3. В списке выберите новый сертификат. Ориентируйтесь на дату окончания: у старого и нового сертификата владелец один и тот же, перепутать легко.
4. В карточке проверьте поля «Организация» и «Пользователь». Пользователь — тот, кто будет подписывать. Если оставить поле пустым, сертификат увидят все пользователи с правом подписи.
5. Введите пароль (ПИН) и нажмите «Добавить». Программа сразу проверит, что ключ доступен.

Если в списке не видно ни одной программы шифрования, на той же форме есть вкладка «Программы». Там должен стоять КриптоПро CSP с отметкой о том, что он установлен на компьютере.

Подключение сертификата к учётной записи ЭДО

Регистрация в справочнике ещё не значит, что ЭДО начнёт им подписывать. В учётной записи ЭДО хранится список сертификатов, которые допущены к работе с оператором.

1. Откройте учётную запись: в БП 3.0 через Администрирование → Обмен электронными документами, раздел с настройками ЭДО, список учётных записей.
2. Откройте учётную запись своей организации у оператора 1С-ЭДО.
3. Перейдите к списку сертификатов учётной записи и добавьте новый.
4. Запишите и закройте карточку.

При первом обмене 1С пройдёт аутентификацию у оператора уже с новым ключом. Оператор связывает сертификат с учётной записью, и с этого момента входящие и исходящие документы идут через него.

Старый сертификат не удаляйте ни из справочника, ни из хранилища Windows. Им подписаны документы прошлых периодов, и при проверке подписи или повторной выгрузке пакета 1С обращается к нему. Достаточно убрать его из списка сертификатов учётной записи ЭДО, когда новый заработает.

Если сменился подписант: МЧД

Для сотрудника, который подписывает не от себя как руководитель, нужна действующая МЧД. В 1С она загружается в список машиночитаемых доверенностей в тех же настройках ЭДО и связывается с сертификатом подписанта.

Что проверить в карточке доверенности:

• 👤 ФИО и ИНН представителя совпадают с данными в новом сертификате;
• 📅 срок действия доверенности не истёк;
• ✅ в доверенности есть полномочия на нужные виды документов (УПД, акты, счета-фактуры);
• 🏛 доверенность зарегистрирована в распределённом реестре ФНС, а не только сохранена файлом.

Если доверенность не связана с новым сертификатом, 1С не даст подписать документ или отправит его без МЧД, и контрагент получит предупреждение о полномочиях подписанта.

Защищённое соединение с оператором: корневые сертификаты и TLS

Обмен с оператором 1С-ЭДО идёт по защищённому каналу, а сама аутентификация построена на сертификате: сервер присылает зашифрованный маркер, 1С расшифровывает его закрытым ключом. Поэтому после замены ключа связь чаще ломается не в 1С, а на уровне цепочки доверия Windows.

Что должно быть на компьютере:

1. Корневой сертификат УЦ. Для подписи из УЦ ФНС это корневой сертификат Минцифры и сертификат УЦ ФНС. Для коммерческого УЦ — его корневой и промежуточный сертификаты. Они ставятся в хранилище Доверенные корневые центры сертификации (корневой) и Промежуточные центры сертификации (промежуточный).
2. Доступ к спискам отзыва (CRL). Адреса списков указаны в самом сертификате, в поле «Точки распространения списков отзыва». Если прокси или межсетевой экран их режет, проверка сертификата закончится ошибкой, хотя сам сертификат действующий.
3. Корректное время на компьютере. Расхождение даже в несколько часов приводит к ошибке «сертификат ещё не вступил в силу» в первый день действия нового ключа.

Если выход в интернет идёт через прокси, его параметры задаются и в 1С: Администрирование → Интернет-поддержка и сервисы, ссылка с настройками прокси-сервера. Без этого 1С может не достучаться до оператора даже при работающем браузере.

Проверка: тестовое подписание и отправка

Проверку делайте до того, как старый сертификат истечёт. Тогда при сбое можно спокойно вернуться к нему и отправить срочные документы.

Встроенная проверка сертификата

Откройте новый сертификат в настройках электронной подписи и нажмите «Проверить». Введите ПИН. Программа последовательно проверяет:

Все строки должны стать зелёными. Красная строка — уже готовый диагноз: по ней понятно, куда смотреть.

Тест учётной записи ЭДО

В карточке учётной записи ЭДО есть команда теста настроек. Она проверяет связь с оператором и аутентификацию с выбранным сертификатом. Выполните её после подключения нового сертификата.

Первая боевая отправка

Лучше всего проверить на реальном, но некритичном документе. Хороший вариант — акт сверки или исходящий УПД постоянному контрагенту, с которым легко связаться.

1. Создайте документ и отправьте его по ЭДО.
2. При подписании в окне выбора сертификата убедитесь, что выбран новый (по дате окончания).
3. Выполните обмен и дождитесь статуса о доставке.
4. Попросите контрагента подтвердить, что документ открылся и подпись прошла проверку.

Если всё прошло, уберите старый сертификат из учётной записи ЭДО. Иначе при подписании 1С продолжит предлагать оба, и кто-нибудь по привычке выберет старый.

Ошибки при замене сертификата в 1С ЭДО

Большинство сбоев после смены ключа сводится к пяти причинам. Сообщения ниже — в том виде, в котором их обычно показывает 1С или Windows.

Отдельно о типичной ловушке. После продления у пользователя в хранилище оказываются два сертификата с одинаковым владельцем. Если старый успел истечь, а в 1С по умолчанию стоит он, подписание падает с ошибкой срока действия. Решение простое: проверьте, какой сертификат выбран в окне подписания, и уберите истёкший из учётной записи ЭДО.

Частые вопросы