При интеграции с банковскими шлюзами, ГИС и защищенными API возникают ошибки:

• Сервер возвращает ошибку HTTP 400 No required SSL certificate was sent или 403 SSL Client Certificate Required.
• Сбой инициализации объекта ЗащищенноеСоединениеOpenSSL при загрузке закрытого ключа.
• Несовпадение формата сертификатов (PKCS#12 / PFX vs раздельные PEM-файлы).
• Ошибки проверки цепочки доверия клиентского сертификата на серверах Linux.

1. Принцип работы двухсторонней аутентификации (Mutual TLS)

При стандартном TLS только клиент проверяет валидность сертификата сервера. При mTLS сервер запрашивает у клиента его публичный сертификат и проверяет цифровую подпись, сформированную закрытым ключом клиента в процессе TLS-рукопожатия.

2. Подготовка сертификатов для платформы 1С

Платформа 1С:Предприятие требует передачи клиентских сертификатов в формате OpenSSL (файлы .crt / .pem и .key):

# Конвертация PFX/P12 контейнера в открытый сертификат клиента:
openssl pkcs12 -in client_bundle.pfx -clcerts -nokeys -out client.crt

# Извлечение закрытого ключа без шифрования (или с паролем):
openssl pkcs12 -in client_bundle.pfx -nocerts -nodes -out client.key

# Извлечение цепочки удостоверяющих центров (CA):
openssl pkcs12 -in client_bundle.pfx -cacerts -nokeys -out ca-chain.crt

3. Программный код вызова защищенного эндпоинта с mTLS

&НаСервере
Функция ВыполнитьЗапросmTLS(Хост, Путь, ТелоЗапросаJSON, ПарольККлючу = "") Экспорт
    
    // Пути к файлам сертификатов на сервере 1С
    ПутьКСертификатуКлиента = "/etc/ssl/1c/client.crt";
    ПутьККлючуКлиента        = "/etc/ssl/1c/client.key";
    ПутьККорневымCA          = "/etc/ssl/1c/ca-chain.crt";
    
    // 1. Инициализация сертификата клиента
    СертификатКлиента = Новый СертификатКлиентаOpenSSL(
        ПутьКСертификатуКлиента,
        ПутьККлючуКлиента,
        ПарольККлючу
    );
    
    // 2. Инициализация доверенных корневых сертификатов
    СертификатыCA = Новый СертификатыУдостоверяющегоЦентраOpenSSL(ПутьККорневымCA);
    
    // 3. Сборка параметров защищенного соединения
    ПараметрыTLS = Новый ПараметрыЗащищенногоСоединенияOpenSSL(СертификатКлиента, СертификатыCA);
    ЗащищенноеСоединение = Новый ЗащищенноеСоединениеOpenSSL(ПараметрыTLS);
    
    // 4. Создание HTTP-соединения
    HTTPСоединение = Новый HTTPСоединение(
        Хост,
        443,
        ,,,
        30,
        ЗащищенноеСоединение
    );
    
    HTTPЗапрос = Новый HTTPЗапрос(Путь);
    HTTPЗапрос.Заголовки.Вставить("Content-Type", "application/json");
    HTTPЗапрос.УстановитьТелоИзСтроки(ТелоЗапросаJSON, КодировкаТекста.UTF8, ИспользованиеByteOrderMark.НеИспользовать);
    
    Попытка
        Возврат HTTPСоединение.ВызватьHTTPМетод("POST", HTTPЗапрос);
    Исключение
        ЗаписьЖурналаРегистрации("mTLS", УровеньЖурналаРегистрации.Ошибка,,, 
            "Ошибка mTLS рукопожатия: " + ОписаниеОшибки());
        ВызватьИсключение;
    КонецПопытки;
    
КонецФункции