Замена сертификата электронной подписи в 1С: порядок действий и типовые сбои
Содержание
Старый сертификат подписи истекает через неделю, удостоверяющий центр уже выпустил новый — а в 1С по-прежнему подставляется прежний и отчётность не отправляется. Чтобы заменить сертификат , нужно пройти три слоя: установить контейнер с закрытым ключом в операционную систему, добавить открытый сертификат в справочник 1С и переназначить его организации и пользователю. Пропустишь один шаг — программа будет видеть ключ, но подписать документ не сможет.
Разберём замену по порядку: от проверки криптопровайдера до диагностики ошибок подключения. Пути приведены для конфигураций на платформе 8.3 (Бухгалтерия предприятия 3.0, ЗУП 3.1, Управление торговлей 11) — механизм электронной подписи у них общий, он взят из библиотеки стандартных подсистем.
Что проверить перед заменой
Сертификат в 1С — это только открытая часть. Подписывает документы закрытый ключ, который хранится в контейнере: на токене (Рутокен, JaCarta), на флешке или в реестре Windows. Поэтому первым делом убедитесь, что новый контейнер физически доступен на рабочем месте.
Нужны три вещи:
- 🔑 Носитель с новым ключом — токен вставлен в USB, флешка подключена, либо контейнер уже скопирован в реестр.
- 🧩 Криптопровайдер — установлена и активна программа
КриптоПро CSP(режеVipNet CSP). Без неё 1С не умеет работать с подписью. - 🔐 Личный сертификат установлен в системе — через утилиту криптопровайдера, а не только записан на носитель.
Проверить криптопровайдер проще всего через его собственную панель. Откройте КриптоПро CSP (меню Пуск → КриптоПро), вкладка Общие покажет версию и срок действия лицензии. Если лицензия просрочена, подпись работать не будет — это частая причина «сертификат есть, а не подписывает».
Устанавливайте новый сертификат заранее, не в день, когда истекает старый. Если что-то пойдёт не так, останется время переделать, а не сорвать сдачу отчёта.
На вкладке Сервис криптопровайдера есть кнопка Просмотреть сертификаты в контейнере — через неё удобно проверить, что новый контейнер читается и ключ в нём живой.
Полезно сразу определиться, где будет жить закрытый ключ. Вариантов три:
- На токене (
Рутокен,JaCarta) — самый защищённый: ключ не копируется на диск, подпись требует подключённого устройства и PIN-кода. - На флешке — ключ лежит в каталоге контейнера, работает, пока носитель вставлен.
- В реестре Windows — ключ копируется на компьютер один раз и всегда доступен. Удобно для одного рабочего места, но привязывает подпись к этой машине.
Скопировать контейнер в реестр можно через КриптоПро CSP → Сервис → Скопировать → выбрать исходный контейнер → задать имя → в качестве носителя указать «Реестр». Это выручает, когда токен нужен в нескольких программах сразу или когда работаете удалённо.
Установка нового сертификата в хранилище Windows
1С берёт сертификаты из системного хранилища Личное (Personal). Пока новый сертификат туда не попал, в программе он не появится.
Установить его можно двумя способами.
Через КриптоПро CSP (рекомендуется). Вкладка Сервис → Просмотреть сертификаты в контейнере → выберите контейнер нового ключа → Далее → Установить. Утилита сама положит сертификат в хранилище «Личное» и привяжет его к закрытому ключу — это важно, иначе подпись не будет работать.
Через файл .cer. Если удостоверяющий центр выдал открытый сертификат отдельным файлом, откройте его двойным кликом → Установить сертификат
→ хранилище Текущий пользователь → поместить в Личное. Но при этом связь с контейнером закрытого ключа придётся восстанавливать отдельно (вкладка Сервис → Установить личный сертификат), поэтому первый способ надёжнее.
После установки откройте оснастку сертификатов (команда certmgr.msc или в КриптоПро «Просмотреть сертификаты в контейнере»): в разделе «Личное» должны лежать и старый, и новый сертификаты. У нового — свежая дата окончания действия.
Если организация работает через несколько компьютеров (бухгалтер и директор подписывают с разных мест), новый сертификат нужно установить на каждом рабочем месте отдельно. 1С хранит только ссылку на сертификат, а сам ключ — на локальной машине.
Добавление сертификата в справочник 1С
Теперь нужно, чтобы программа увидела новый сертификат. Все настройки подписи собраны в одной форме.
Откройте Администрирование → Обмен электронными документами → раздел Настройки электронной подписи и шифрования. В конфигурациях с развитым документооборотом эта же форма доступна из Главное → Организации → ЭДО и подпись — наполнение одинаковое.
В форме три вкладки:
| Вкладка | Что здесь |
|---|---|
| Сертификаты | список сертификатов, которыми подписывают в этой базе |
| Программы | установленные криптопровайдеры (КриптоПро, VipNet) |
| Дополнительно | общие настройки: проверка подписи, время на сервере |
Перейдите на вкладку Сертификаты → Добавить → Из установленных на компьютере. Программа покажет список сертификатов из хранилища «Личное» — выберите новый по сроку действия и ФИО владельца.
На следующем шаге 1С предложит указать:
- Пользователя, которому принадлежит сертификат;
- Организацию, от имени которой подписывают;
- вводить ли пароль закрытого ключа при каждом подписании или запомнить его.
Нажмите Добавить — сертификат появится в списке. Старый сертификат пока не удаляйте: он нужен, чтобы открыть и перепроверить ранее подписанные документы.
Если при добавлении 1С пишет, что программа подписи не настроена, загляните на вкладку Программы той же формы. Там должен быть добавлен и отмечен ваш криптопровайдер — обычно КриптоПро CSP. Когда криптопровайдер установили в систему уже после первой настройки 1С, его нужно добавить в этот список вручную: Добавить → выбрать из определившихся на компьютере. Без этого шага сертификат виден, но подписать им ничего не получится — программе нечем формировать подпись.
Проверка работоспособности подписи
Прежде чем закрыть форму, проверьте, что новый сертификат действительно подписывает. В строке сертификата нажмите Проверить (или откройте карточку сертификата → Проверить).
1С выполнит тестовое подписание: запросит пароль/PIN контейнера и покажет результат по пунктам — доступность программы, наличие закрытого ключа, корректность подписи. Если все галочки зелёные — замена прошла успешно.
Если проверка падает на шаге «закрытый ключ недоступен», значит сертификат в хранилище есть, а связь с контейнером не установлена. Вернитесь в КриптоПро, Сервис → Установить личный сертификат, и привяжите открытый сертификат к нужному контейнеру.
При первом тестовом подписании система может запросить разрешение на доступ к ключу и предложить запомнить пароль. Если ставите галочку — учтите, что при следующей замене сохранённый пароль нужно будет сбросить, иначе 1С продолжит подставлять старый. Для разовых подписаний пароль лучше вводить каждый раз: это надёжнее с точки зрения защиты ключа.
Отдельно проверьте, что подпись проходит именно под той учётной записью 1С, под которой работает сотрудник. Бывает, что настройку делал администратор под своим пользователем, а бухгалтер потом не может подписать — потому что сертификат закреплён не за ним.
Привязка сертификата к организации и пользователю
Один сертификат может подписывать не всё подряд. 1С разделяет направления использования, и для каждого сертификат назначается отдельно.
Отчётность в контролирующие органы. Если подпись используется в встроенном 1С-Отчётность, зайдите в Отчёты → 1С-Отчётность → Настройки → Настройки обмена и в параметрах организации убедитесь, что для отправки выбран новый сертификат. Старый после окончания срока здесь перестанет подставляться автоматически — выбор лучше сменить вручную заранее.
Когда сертификат изначально выпускался через сервис 1С-Отчётность, менять его проще не вручную, а плановым перевыпуском: в разделе 1С-Отчётность есть мастер подачи заявления на новый сертификат. Программа заполнит данные организации из текущего сертификата, сформирует заявление и после одобрения удостоверяющим центром сама подставит новый сертификат в настройки обмена. Запускать перевыпуск стоит заранее — за три-четыре недели до окончания срока, пока старый ещё действует и можно подписать заявление.
Электронный документооборот с контрагентами (ЭДО). Откройте Администрирование → Обмен электронными документами → Обмен с контрагентами → настройка от нужной организации. На вкладке с сертификатом замените старый на новый.
Привязка к пользователю. Если в базе работает несколько сотрудников, сертификат должен быть закреплён за тем пользователем, под которым он подписывает. Это задаётся в карточке сертификата в поле «Пользователь». Директор не сможет подписать чужим сертификатом, даже если тот установлен на его компьютере.
После перевыпуска сертификата по новому ключу квалифицированную подпись руководителя с 2022 года выдаёт только удостоверяющий центр ФНС (или её доверенные лица). Сотрудники подписывают своей личной подписью физлица плюс машиночитаемая доверенность (МЧД). Если меняете сертификат руководителя — проверьте, что действующая МЧД на сотрудников всё ещё актуальна.
Разбор ошибок подключения
Большинство сбоев после замены сертификата сводится к нескольким причинам. Ниже — как по симптому понять, где искать.
Отдельно про дату и время: сбитые часы на рабочей станции — недооценённая причина. Если время ушло вперёд за границу срока действия, 1С честно сообщит, что сертификат недействителен, хотя с ним всё в порядке. Синхронизируйте время с сервером.
Если ошибка возникает только при отправке в налоговую, а тестовое подписание в настройках проходит — проблема не в сертификате, а в настройках документооборота или на стороне оператора. Сам сертификат к этому моменту уже заменён корректно.
Работа с облачными сертификатами
Отдельный случай — когда закрытый ключ хранится не на токене у бухгалтера, а на защищённом сервере (облачная подпись, например 1С-Подпись или сервис на базе КриптоПро DSS). Физического носителя на рабочем месте в этом случае нет.
Замена облачного сертификата отличается:
- 🖥️ криптопровайдер на компьютере пользователя не нужен — подпись формируется на сервере;
- 📲 подтверждение подписания часто приходит СМС-кодом или через мобильное приложение ;
- 🔄 новый сертификат появляется в 1С после его выпуска на стороне сервиса — достаточно обновить список .
Чтобы подключить новый облачный сертификат, на вкладке Сертификаты выберите добавление из облачного сервиса (а не «Из установленных на компьютере») и авторизуйтесь в сервисе подписи. Дальше назначение организации и пользователю — то же самое, что у обычного сертификата.
Главный плюс облачного варианта при замене: не нужно обходить все рабочие места и ставить контейнер на каждое. Новый ключ становится доступен всем, кому выданы права, сразу после перевыпуска.
Минус тоже есть: облачная подпись работает только при доступе к сервису. Если интернет пропал или сервис недоступен, подписать документ не выйдет, тогда как токен работает автономно. Поэтому для критичных подписей (руководитель, отправка в налоговую) многие держат обычный ключ на токене, а облачный используют для рядового документооборота с контрагентами.