КриптоПро для 1С: какую редакцию ставить и какую лицензию покупать

Для 1С 8.3 нужен КриптоПро CSP версии 5.0 (актуальная ревизия R2 или R3) с клиентской лицензией на каждый компьютер, где подписывают документы. Серверная лицензия нужна, только если КриптоПро стоит на серверной ОС: терминальный сервер или сервер 1С, на котором подпись выполняется без участия клиента.

Типичная ситуация: получили КЭП в налоговой, поставили «какой-то КриптоПро», а 1С пишет Не установлена программа электронной подписи или отчёт не уходит. Причина почти всегда в одном из трёх мест: версия КриптоПро CSP, тип лицензии или настройка программы в самой 1С. Все три проверяются за 15 минут.

Какая версия КриптоПро CSP подходит для 1С

Короткая таблица для выбора:

Почему именно 5.0:

• 🔐 все действующие сертификаты выпускаются по ГОСТ Р 34.10-2012, старый ГОСТ 2001 в подписи давно не используется;
• 🖥️ 4.0 официально не рассчитана на Windows 11 и свежие сборки Windows 10;
• 🔑 5.0 читает ключи с современных токенов (Рутокен ЭЦП 2.0/3.0, JaCarta-2 SE, ESMART Token ГОСТ), в том числе с неизвлекаемыми ключами, которые выдаёт УЦ ФНС;
• 🧾 развитие и сертификация продукта идут на ветке 5.0, а 4.0 постепенно выводят из поддержки.

С самой 1С проблем совместимости у 5.0 нет. Платформа 8.3 обращается к криптопровайдеру через стандартный интерфейс Windows (CryptoAPI) и видит его по имени и типу:

• Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider, тип 80 — для ключей 256 бит;
• Crypto-Pro GOST R 34.10-2012 Strong Cryptographic Service Provider, тип 81 — для ключей 512 бит.

Если в настройках 1С остался провайдер с типом 75 (ГОСТ 2001), это след старой установки. Его можно убрать из списка программ, на подпись по новым сертификатам он не влияет.

Клиентская или серверная редакция: что выбрать под вашу схему работы 1С

У КриптоПро CSP нет отдельных «редакций» под файловую или клиент-серверную 1С. Дистрибутив один, а различаются лицензии: клиентская (на рабочую станцию) и серверная (на сервер). Что покупать, зависит от того, где физически выполняется подпись.

Файловая база на одном или нескольких компьютерах

Подпись выполняется на компьютере пользователя. Нужна клиентская лицензия на каждую машину, где есть ключ и где нажимают «Подписать» или «Отправить». Компьютер, на котором просто лежит папка с базой, лицензии не требует, если с него никто не подписывает.

Клиент-серверная база

По умолчанию 1С подписывает на клиенте, и схема та же: клиентские лицензии на рабочие места. Серверная лицензия нужна, если в настройках электронной подписи включено выполнение операций на сервере. Тогда КриптоПро ставят на сервер 1С, а сертификаты и ключи должны быть доступны пользователю, от имени которого работает служба сервера 1С (обычно USR1CV8).

Это главный подводный камень. Сертификат установлен в хранилище «Личное» обычного пользователя Windows, а служба работает под другой учётной записью и ключ не видит. Подпись на сервере падает, хотя на клиенте всё в порядке.

Терминальный сервер (RDP, RemoteApp)

Windows Server — серверная ОС, поэтому для КриптоПро на ней нужна серверная лицензия. Клиентские лицензии на сервер не ставят: формально это нарушение условий лицензирования, а на практике ключ может не принять продукт. Сколько одновременных пользователей покрывает лицензия, уточняйте у поставщика при покупке.

Лицензии КриптоПро и носители ключей для 1С

Виды лицензий

Цены ориентировочные: их задают КриптоПро и партнёры, и они меняются. Точную сумму смотрите у поставщика на дату покупки.

Встроенная лицензия

Многие удостоверяющие центры выпускают сертификат со встроенной лицензией КриптоПро. Такая лицензия работает только для операций с ключом этого сертификата. Подписывать другим ключом на том же компьютере уже нельзя без отдельной лицензии.

Если КЭП руководителя получена в УЦ ФНС, встроенной лицензии в ней нет. Тогда на компьютер нужна обычная лицензия КриптоПро CSP, иначе после 90 дней пробного периода подпись перестанет работать.

Носители ключей

• 🔑 Токен с неизвлекаемым ключом (Рутокен ЭЦП, JaCarta-2 SE) — так выдаёт ФНС. Ключ нельзя скопировать, подпись выполняется внутри токена. Нужен драйвер токена и КриптоПро 5.0.
• 💾 Обычный токен или флешка с контейнером КриптоПро — ключ можно скопировать штатными средствами, если при выпуске разрешили экспорт.
• 🗂️ Реестр Windows — удобно для терминального сервера, но ключ привязан к машине и профилю.
• ☁️ Облачная подпись в 1С-Отчетности — ключ хранится у оператора, КриптоПро на компьютер ставить не нужно. Подходит, только если подпись нужна для отчётности через этот сервис.

Не храните ключ руководителя в реестре общего сервера без пароля на контейнер: им сможет подписать любой, кто войдёт под этим профилем.

Настройка КриптоПро CSP для подписи в 1С

Подготовка компьютера

1. Установите КриптоПро CSP 5.0 с сайта разработчика под учётной записью администратора Windows.
2. Введите серийный номер лицензии: панель управления КриптоПро CSP → вкладка «Общие» → «Ввод лицензии». Без ввода номера работает пробный период.
3. Установите драйвер токена (Рутокен, JaCarta), если ключ на нём.
4. Установите сертификат в хранилище «Личное» текущего пользователя. В КриптоПро CSP это вкладка «Сервис» → «Просмотреть сертификаты в контейнере» → «Установить».
5. Установите корневые и промежуточные сертификаты УЦ. Для сертификатов ФНС это сертификаты Минцифры (головного УЦ) и УЦ ФНС.

Проверить, что контейнеры видны системе, можно из командной строки:

"C:\Program Files\Crypto Pro\CSP\csptest.exe" -keyset -enum_cont -verifycontext -fqcn

Команда выводит полные имена всех контейнеров. Если ваш ключ в списке есть, КриптоПро его видит, и дальше вопрос только в настройке 1С.

Настройка в 1С

В БП 3.0 и ЗУП 3.1 путь одинаковый: Администрирование → Общие настройки → Электронная подпись и шифрование. В УТ 11 похожая настройка находится в разделе НСИ и администрирование → Администрирование → Общие настройки.

1. Включите флажок использования электронной подписи и перейдите в настройки электронной подписи и шифрования.
2. На вкладке «Программы» проверьте, что КриптоПро CSP есть в списке и 1С не пишет напротив него ошибку. Если программы нет, добавьте её — 1С сама предложит найденные на компьютере криптопровайдеры.
3. На вкладке «Сертификаты» добавьте сертификат: команда добавления предложит выбрать его из установленных в «Личном» хранилище.
4. Откройте карточку сертификата и выполните проверку. 1С по очереди проверит наличие программы, ключа, подпись и шифрование и покажет, на каком шаге сбой.

Особенности клиент-серверного варианта

Если включена подпись на сервере, повторите установку КриптоПро и сертификатов на сервере 1С. Сертификат нужно поставить так, чтобы его видела учётная запись службы сервера 1С. Самый простой способ — войти на сервер под этой учётной записью и установить сертификат в её «Личное» хранилище.

Ошибки КриптоПро в 1С и что с ними делать

Ещё два случая, которые не видны по тексту ошибки:

• 🧩 Установлены два криптопровайдера с ГОСТ, например КриптоПро и ViPNet CSP. Они конфликтуют за одни и те же алгоритмы. На одном компьютере оставляйте один.
• 🕓 Неверные дата и время на компьютере. Сертификат кажется недействительным или «ещё не начавшим действовать». Сверьте системные часы.

Обновление КриптоПро CSP и переход с 4.0 на 5.0

Переход делают поверх старой установки, базы 1С при этом не трогают.

1. Запишите серийный номер текущей лицензии и проверьте, на какую версию он выдан. Ключ от 4.0 к 5.0 не подходит: нужна лицензия на 5.0 (покупка новой или обновление у поставщика).
2. Проверьте, что ключи на токене или флешке доступны, и сделайте копию экспортируемых контейнеров.
3. Запустите установщик 5.0. Он обновит 4.0 и предложит перезагрузку.
4. После перезагрузки введите серийный номер 5.0.
5. В 1С откройте карточку сертификата и снова запустите проверку.

Порядок для терминального сервера тот же, но обновление ставят, когда на сервере нет пользователей: установщик требует перезагрузку, и все сеансы оборвутся.

Для Linux-сервера 1С лицензию проверяют и вводят утилитой cpconfig:

/opt/cprocsp/sbin/amd64/cpconfig -license -view
/opt/cprocsp/sbin/amd64/cpconfig -license -set <серийный_номер>

Обновлять ревизии внутри 5.0 (R2 → R3) стоит по графику, а не сразу после выхода: сначала на одном рабочем месте, потом на остальных. Лицензия 5.0 действует для всех её ревизий.

Частые вопросы о КриптоПро для 1С