Ошибка создания ЭЦП 0x800b010e: Процесс отмены не может быть продолжен
Механика проверки статуса сертификата (CRL/OCSP)
Критическая ошибка 0x800b010e (Процесс отмены не может быть продолжен - проверка отзыва не удалась / The revocation process could not continue - the certificate(s) could not be checked) блокирует процесс подписания документа в 1С. Согласно стандартам безопасности, перед наложением подписи CryptoAPI обязан убедиться, что ваш сертификат не был отозван Удостоверяющим Центром (УЦ) досрочно (например, из-за компрометации ключа). Для этого ОС пытается скачать Список отзыва сертификатов (CRL - Certificate Revocation List) по URL-адресу, зашитому в самом сертификате (расширение CDP). Если сервер УЦ недоступен, закрыт файрволом, или локальный кэш CRL устарел — подписание прерывается. Бизнес-риски: массовая остановка отправки налоговой отчетности (1С-Отчетность) в дни сдачи.
Причины недоступности списков отзыва
| Уровень проблемы | Описание блокировки |
|---|---|
| Сетевой (Firewall/Proxy) | Сервер 1С или рабочая станция не имеет прямого доступа в Интернет по HTTP (порт 80) к серверам УЦ. |
| Инфраструктура УЦ | Серверы Удостоверяющего Центра (например, Тензор, Калуга Астрал, Госуслуги) временно лежат из-за DDoS-атаки или сбоя. |
| Локальный кэш ОС | Служба криптографии Windows зависла и не может обновить просроченный локальный файл CRL. |
Восстановление проверки отзыва сертификатов
Сценарий 1: Ручное скачивание и установка CRL
Если проблема на стороне сети, нужно установить свежий список отзыва вручную.
- Откройте ваш личный сертификат (двойной клик по
.cerфайлу). - Перейдите на вкладку Состав, найдите поле Точки распространения списков отзыва (CDP).
- В нижнем окне скопируйте URL-адрес (обычно начинается с
http://и заканчивается на.crl). - Скачайте файл
.crlчерез браузер на компьютере с интернетом. - Кликните по скачанному файлу правой кнопкой мыши -> Установить список отзыва (Install CRL) -> Поместить в хранилище "Промежуточные центры сертификации".
Сценарий 2: Очистка кэша CRL в Windows (CMD)
Если УЦ уже поднял серверы, но Windows "запомнила" ошибку.
Запустите командную строку (cmd) от имени Администратора
Очистка дискового кэша
certutil -urlcache * delete
Очистка кэша в памяти
certutil -setreg chain\ChainCacheResyncFiletime @nowСценарий 3: Настройка прокси/файрвола для серверов 1С
Если подписание идет на сервере 1С (rphost), администраторы сети часто закрывают ему доступ в интернет. Списки отзыва скачиваются только по протоколу HTTP (не HTTPS)! Это стандарт RFC, так как проверка не должна зависеть от другой криптографии.
- Разрешите исходящий трафик на порт 80 (TCP) для процесса
rphost.exeна IP-адреса УЦ.
Зависимость от внешних серверов — уязвимость корпоративного ЭДО. Инженеры ITSTM настроят локальные ретрансляторы (Reverse Proxy) для кэширования CRL и внедрят протокол OCSP для мгновенной проверки статуса без скачивания тяжелых мегабайтных списков.
Частые вопросы (FAQ)
Можно ли отключить проверку отзыва (CRL), чтобы подписать документ без интернета?
В 1С (через БСП) проверка жестко зашита в платформу для соблюдения закона об ЭП (63-ФЗ). Отключить ее легальными средствами интерфейса 1С нельзя. Программно (в коде) это обходится настройкой флагов CryptoAPI (CERT_CHAIN_REVOCATION_CHECK_END_CERT), но подпись может быть признана недействительной принимающей стороной.
Почему CRL скачивается по незащищенному HTTP?
Это защита от 'зацикливания'. Если бы CRL лежал на HTTPS сервере, то для установки защищенного соединения нужно было бы проверить сертификат самого HTTPS сервера, скачав его CRL, и так до бесконечности.
Как часто устаревает CRL?
Зависит от УЦ. Обычно базовый список отзыва (Base CRL) действует от 2 до 7 дней. Дельта-списки (Delta CRL) могут обновляться каждые несколько часов.
Что значит ошибка 0x80092013, похожая на эту?
Ошибка 0x80092013 (CRYPT_E_REVOCATION_OFFLINE) означает ровно то же самое: функция проверки отзыва не смогла получить доступ к сети, сервер CDP в оффлайне. Решение аналогично — ручная загрузка CRL.