Настройка ЭЦП, КриптоПро и корневых сертификатов для 1С:ЭДО
Архитектура криптографии (ЭЦП) в платформе 1С
Для юридически значимого электронного документооборота (1С:ЭДО, 1С-Отчетность) платформа 1С использует внешние криптопровайдеры (чаще всего КриптоПро CSP или ViPNet), вызывая их методы через Crypto API Windows. Ошибка подписания или расшифровки обычно связана не с 1С, а с нарушением цепочки доверия (Chain of Trust) в хранилище сертификатов операционной системы. Бизнес-риски: срыв сроков сдачи налоговой отчетности (ФНС), невозможность выставить УПД контрагентам (блокировка отгрузок).
Симптоматика сбоев ЭЦП
| Текст ошибки в 1С | Суть проблемы (Криптография Windows) |
|---|---|
Цепочка сертификатов не может быть проверена... | В ОС отсутствует корневой или промежуточный сертификат Удостоверяющего центра (УЦ), выдавшего ЭЦП (Минцифры, ФНС). |
Ошибка вызова метода компоненты... (КриптоПро) | Истекла лицензия на КриптоПро CSP, либо служба криптопровайдера зависла/повреждена при обновлении Windows. |
Набор ключей не существует / Не найден контейнер | Токен (Рутокен, JaCarta) извлечен из USB, или в профиле ЭДО в 1С слетела привязка сертификата к закрытому ключу. |
Алгоритм траблшутинга и настройки ЭЦП
Сценарий 1: Восстановление цепочки корневых сертификатов (Trust Chain)
Операционная система должна доверять УЦ, выдавшему подпись директору/сотруднику.
- Скачайте с сайта Госуслуг или Минцифры корневые сертификаты (Головной Удостоверяющий Центр - ГУЦ, Минкомсвязь, ФНС).
- Откройте консоль
certmgr.msc(Сертификаты - текущий пользователь) или через свойства браузера (Свойства Интернет -> Содержание -> Сертификаты). - Вкладка Доверенные корневые центры сертификации. Нажмите «Импорт» и установите скачанные файлы (обычно с расширением .cer или .crt).
- Промежуточные сертификаты (УЦ Тензор, Калуга-Астрал и т.д.) устанавливаются во вкладку Промежуточные центры сертификации.
- Откройте личный сертификат директора в ОС: на вкладке «Путь сертификации» (Certification Path) не должно быть крестиков или предупреждений.
Сценарий 2: Привязка закрытого ключа через КриптоПро CSP
Сертификат (открытый ключ) должен знать, где лежит его закрытая часть (на флешке или в реестре).
1. Откройте "КриптоПро CSP" (cpconfig.cpl) от имени Администратора.
2. Перейдите на вкладку "Сервис" -> "Просмотреть сертификаты в контейнере".
3. Выберите нужный контейнер (с Рутокена или из Реестра) и нажмите "ОК".
4. Нажмите "Установить". Это свяжет публичный сертификат с закрытым ключом для работы в 1С.Типовые ошибки администраторов
- Копирование некопируемых ключей ФНС: Новые подписи ФНС для руководителей часто выдаются на защищенных носителях (Рутокен ЭЦП 2.0) без возможности экспорта закрытого ключа (флаг Exportable = False). Попытки скопировать их в реестр Windows через КриптоПро приводят к ошибкам в 1С.
- Путаница x86/x64 клиентов 1С: Если установлен 64-битный клиент 1С (1cv8c.exe), он не увидит некоторые старые (32-битные) версии криптопровайдеров. Используйте 32-битный клиент 1С для совместимости с legacy-КриптоПро или обновите CSP до версии 5.0.
Проброс USB-ключей по RDP часто приводит к зависаниям криптопровайдера. Инженеры ITSTM настроят фоновое (серверное) подписание документов в 1С, установив КриптоПро JCP или CSP на сервере 1С:Предприятия с соблюдением требований ФСБ по информационной безопасности.
Частые вопросы (FAQ)
Почему 1С просит пароль (пин-код) при каждом подписании УПД?
Это защита контейнера закрытого ключа (Рутокена). Чтобы не вводить пароль постоянно, в настройках программы 1С (Настройки ЭДО -> Настройки криптографии) или в самом КриптоПро (галочка 'Запомнить пароль') можно кэшировать пин-код.
Как проверить, что 1С видит установленный сертификат?
Перейдите в 'Администрирование' -> 'Обмен электронными документами' -> 'Настройки криптографии' (или 'Сертификаты'). Статус сертификата должен быть зеленым ('Действителен'). Нажмите 'Проверить' — 1С выполнит тестовое шифрование.
Можно ли использовать КриптоПро и ViPNet на одном ПК?
Крайне не рекомендуется. Эти два криптопровайдера конкурируют за перехват криптографических системных вызовов в ядре Windows. Их совместная работа часто приводит к 'синим экранам' (BSOD) и отказу работы 1С:Отчетности.
Где скачать корневые сертификаты?
Только с официальных порталов: gosuslugi.ru (раздел Единый портал электронной подписи), nalog.gov.ru, или с сайтов доверенных операторов ЭДО (Калуга Астрал, Тензор, Такском).