Сертификат ЭП пропал из 1С-Отчетности: проверяем ключ, криптопровайдер и привязку к учётной записи

Чаще всего 1С-Отчетность не видит сертификат по одной из трёх причин: ключевой носитель не вставлен или у сертификата нет связи с закрытым ключом, закончилась лицензия или пробный период КриптоПро CSP, либо в учётной записи документооборота прописан старый сертификат, а новый ещё не зарегистрирован у оператора. Начните с настроек электронной подписи в 1С и с окна КриптоПро — за 5–10 минут обычно становится ясно, на каком звене обрыв.

Ошибка Не удалось установить сертификаты и выполнить автоматическую настройку — частный случай той же проблемы. Её показывает автонастройка 1С-Отчетности, когда программа получила параметры от оператора, но не смогла положить сертификаты в хранилище Windows или не нашла сертификат руководителя с закрытым ключом. Проверки удобнее идти от быстрых и безопасных к тем, что требуют прав администратора.

С чего начать: где 1С показывает сертификаты

В БП 3.0, ЗУП 3.1 и УТ 11 настройки подписи общие для платформы и лежат в одном месте: Администрирование → Общие настройки → Электронная подпись и шифрование. Там две нужные вкладки:

• 🔑 Сертификаты — что именно 1С видит и считает пригодным для подписи;
• 🧩 Программы — какие криптопровайдеры найдены на компьютере и какой из них используется.

Откройте карточку нужного сертификата и нажмите «Проверить». 1С по очереди проверит наличие сертификата, доступ к закрытому ключу, подписание и шифрование. Строка, на которой проверка падает, и есть подсказка:

Сертификат подписи истёк или не прошёл проверку

Квалифицированный сертификат выдаётся на ограниченный срок, обычно около года. В 1С-Отчетности за несколько недель до окончания появляется напоминание, но его часто закрывают не читая.

Как проверить:

1. Откройте карточку сертификата в настройках электронной подписи и посмотрите поле «Действителен до».
2. Сверьте дату и время на компьютере. Если часы Windows ушли на год вперёд или назад, действующий сертификат программа сочтёт просроченным или ещё не начавшим действовать.
3. Откройте сертификат двойным щелчком из КриптоПро или из certmgr.msc и прочитайте вкладку «Общие». Надпись о том, что нет доверия к корневому сертификату, означает, что цепочка не выстроена.

Для сертификатов, выданных УЦ ФНС, цепочка такая: корневой сертификат Минцифры России (Головной удостоверяющий центр) → сертификат УЦ ФНС России → ваш сертификат. Корневой ставят в «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации». Скачивают их с официальных сайтов ФНС и Минцифры, а не с форумов.

⚠️ Ещё одна причина отказа — недоступен список отзыва (CRL). Если в сети заблокированы адреса удостоверяющего центра, проверка статуса падает, и 1С показывает сертификат как непригодный. Проверьте прокси и межсетевой экран.

Просроченный сертификат продлить нельзя — только получить новый и зарегистрировать его в 1С-Отчетности.

КриптоПро, ViPNet и конфликт криптопровайдеров

Криптопровайдер — программа, которая хранит ключи и делает саму подпись. 1С-Отчетность работает с КриптоПро CSP и ViPNet CSP. На вкладке «Программы» 1С показывает, какой из них найден и работает ли он.

Что ломает подпись чаще всего:

• ⏳ закончился пробный период КриптоПро CSP. После установки без серийного номера программа работает 90 дней, затем подпись перестаёт создаваться. Проверьте статус лицензии в окне «КриптоПро CSP» на вкладке «Общие»;
• 🔀 на компьютере стоят два криптопровайдера. КриптоПро CSP и ViPNet CSP одновременно — классический конфликт: оба регистрируют обработку одних и тех же алгоритмов ГОСТ, и в 1С выбирается не тот;
• 📦 версия криптопровайдера не поддерживает ГОСТ Р 34.10-2012. Все действующие квалифицированные сертификаты выпускаются по этому ГОСТу, поэтому на очень старых версиях КриптоПро они не работают;
• 🛡️ антивирус или средство защиты блокирует модули. После обновления антивируса КриптоПро может перестать отвечать на запросы 1С.

Порядок исправления:

1. На вкладке «Программы» оставьте один криптопровайдер, который реально установлен и лицензирован.
2. Если на машине два CSP, удалите лишний штатным средством Windows «Программы и компоненты» и перезагрузите компьютер.
3. Обновите КриптоПро CSP до актуальной версии с сайта разработчика, введите серийный номер.
4. Перезапустите 1С и повторите проверку сертификата.

Плагины браузера (КриптоПро ЭЦП Browser plug-in) с конфликтом CSP не связаны и удалять их не нужно.

Хранилище сертификатов: личное, промежуточное, корневое

1С ищет сертификат подписанта в хранилище «Личное» текущего пользователя Windows. Если сертификат лежит в другом месте — в «Других пользователях», в хранилище компьютера или просто в виде файла .cer на рабочем столе, — 1С-Отчетность его не увидит.

Проверка через оснастку:

certmgr.msc

Откройте Личное → Сертификаты и найдите свой сертификат по ФИО и названию организации. У правильно установленного сертификата на значке есть ключик, а в свойствах написано, что есть закрытый ключ.

Какие сертификаты где должны лежать:

Если сертификат лежит не там, удалите его из неправильного хранилища и поставьте заново через КриптоПро — так, как описано в следующем разделе. Простой импорт .cer двойным щелчком связь с закрытым ключом не создаёт.

Не удалось установить сертификаты и выполнить автоматическую настройку 1С-Отчетности

Автонастройка срабатывает после одобрения заявления на подключение или на изменение параметров. 1С получает от оператора файл настроек, прописывает учётную запись и ставит в хранилища сертификаты контролирующих органов и оператора. Сбой на любом шаге выводит общее сообщение про невозможность установить сертификаты.

Причины, которые встречаются на практике:

• 🪟 пользователь отклонил окно Windows «Предупреждение о безопасности». При установке корневого сертификата Windows спрашивает подтверждение. Нажали «Нет» или закрыли окно — автонастройка обрывается;
• 🌐 нет доступа к серверам оператора. Прокси без авторизации в 1С, фильтрация трафика, блокировка на межсетевом экране;
• 🔑 сертификат руководителя не найден с закрытым ключом. Токен не вставлен, контейнер не связан с сертификатом;
• 👤 у пользователя Windows нет прав на запись в хранилище — характерно для терминальных серверов с жёсткими групповыми политиками;
• 📝 заявление ещё не одобрено. Пока статус не сменился, настраивать нечего.

Что делать по шагам:

1. Откройте список заявлений в 1С-Отчетности и обновите статус. Дождитесь одобрения.
2. Проверьте параметры прокси в Администрирование → Интернет-поддержка и сервисы и доступ в интернет с этого компьютера.
3. Вставьте носитель с ключом руководителя и убедитесь, что сертификат проходит проверку в настройках электронной подписи.
4. Запустите автонастройку повторно и на каждый запрос Windows об установке сертификата отвечайте «Да».
5. Если ошибка повторилась, скачайте сертификаты оператора и налоговой из настроек учётной записи (или получите их у оператора) и поставьте вручную по таблице из предыдущего раздела, затем снова обновите настройки.

Связь сертификата с закрытым ключом и учётной записью 1С-Отчетности

Здесь два разных звена, и путают их постоянно.

Первое звено — сертификат и контейнер ключа. Сертификат без закрытого ключа подписывать не может. Восстановить связь можно в КриптоПро CSP:

1. Вставьте токен (Рутокен, JaCarta) или убедитесь, что контейнер есть в реестре.
2. В КриптоПро CSP на вкладке «Сервис» выберите просмотр сертификатов в контейнере.
3. Укажите контейнер, нажмите «Далее», затем «Установить». Сертификат ляжет в личное хранилище уже с привязкой к ключу.

Если сертификата внутри контейнера нет (бывает у части носителей), используйте на той же вкладке установку личного сертификата из файла .cer и укажите контейнер вручную или поиском.

Второе звено — сертификат и учётная запись документооборота. В учётной записи 1С-Отчетности хранится конкретный сертификат, зарегистрированный у оператора. Новый сертификат, даже правильно установленный в Windows, программа для отправки не возьмёт, пока оператор его не зарегистрирует.

Порядок при смене сертификата:

1. Установите новый сертификат с привязкой к ключу.
2. В 1С-Отчетности оформите заявление на изменение параметров подключения и укажите в нём новый сертификат.
3. Отправьте заявление, дождитесь одобрения и выполните автонастройку.

Подменять сертификат в учётной записи вручную, минуя заявление, бессмысленно: оператор и налоговая не примут подпись незарегистрированным ключом.

Права доступа: терминальный сервер, клиент-сервер и веб-клиент

Сертификат может отлично работать у одного пользователя и быть невидимым у другого. Причина в том, что хранилище «Личное» у каждого пользователя Windows своё.

Типовые ситуации:

• 🖥️ Терминальный сервер или RDP. Сертификат установлен под учётной записью администратора, а бухгалтер заходит под своей. Установите сертификат из контейнера под пользователем бухгалтера. Токен должен быть проброшен в сеанс: в настройках подключения к удалённому рабочему столу включите передачу смарт-карт.
• 🗄️ Подписание на сервере 1С. Если в настройках электронной подписи включено подписание и шифрование на сервере, криптографию выполняет рабочий процесс сервера 1С от имени служебной учётной записи (часто USR1CV8). Тогда сертификат и контейнер нужны в хранилище этой учётной записи, а криптопровайдер — на сервере. Большинству небольших организаций проще выключить этот режим и подписывать на клиенте.
• 🌍 Веб-клиент. Браузеру нужны расширение для работы с 1С:Предприятием и расширение для работы с криптографией. Без них 1С не получит доступа к сертификатам компьютера.
• 🔒 Права на контейнер в реестре. Если ключ хранится в реестре, доступ к нему есть только у пользователя, для которого он создан. Другой пользователь того же компьютера контейнер не увидит.

Сертификаты УЦ ФНС, сотрудники и машиночитаемая доверенность

С 2022 года квалифицированные сертификаты руководителей юрлиц и ИП выдаёт удостоверяющий центр ФНС и его доверенные лица. Сотрудники с 1 сентября 2023 года подписывают документы своей личной квалифицированной подписью физлица вместе с машиночитаемой доверенностью (МЧД) от организации.

Что из этого вытекает для 1С-Отчетности:

• 📄 Новый сертификат руководителя от ФНС — это смена сертификата. Нужно заявление на изменение параметров подключения, как в разделе про привязку. Старый коммерческий сертификат, даже если он ещё действует, после этого не используйте.
• 🧾 Бухгалтер с личной подписью без МЧД отчёт не отправит. Доверенность оформляют по формату ФНС, подписывают подписью руководителя и регистрируют. В 1С-Отчетности её указывают в настройках учётной записи для этого сертификата.
• 🧬 Сертификат на физлицо не содержит данных организации. Если искать его в 1С по названию компании, не найдёте: ищите по ФИО.
• 🔁 Цепочка доверия другая. Для сертификатов УЦ ФНС нужен корневой сертификат Минцифры, а не корневой коммерческого центра.

Частые вопросы