Администрирование · 12 мин
Что такое CRL в 1С и как работать со списками отзыва сертификатов
Что такое CRL в 1С, зачем нужны списки отзыва сертификатов, где они хранятся, как их обновить и что делать при ошибках проверки подписи.
CRL (Certificate Revocation List) — это список отозванных сертификатов, который выпускает удостоверяющий центр. В контексте 1С термин встречается чаще всего при работе с электронной подписью: когда программа проверяет подпись документа, обменивается отчетностью с ФНС или подключается к ЭДО, она должна убедиться, что сертификат подписанта не отозван. Если CRL недоступен или устарел, проверка может завершиться ошибкой, даже если сам сертификат действителен.
Типичные ситуации, в которых бухгалтер или администратор сталкивается с CRL: отправка отчетности через 1С-Отчетность, обмен электронными документами с контрагентами, подписание платежных поручений в клиент-банке, интегрированном с 1С. Ошибки вида «не удается проверить статус сертификата», «список отзыва недействителен» или «CRL устарел» сигнализируют именно о проблемах со списками отзыва.
Механизм проверки выполняется не самой 1С, а криптопровайдером (КриптоПро CSP, ViPNet CSP) и операционной системой. Однако настройки и поведение подсистемы электронной подписи в 1С влияют на то, как эти проверки запускаются и как программа реагирует на их результаты. Поэтому понимать устройство CRL полезно и пользователю, и администратору.
Как устроена проверка сертификата через CRL
Каждый квалифицированный сертификат содержит ссылку на точки распространения CRL — адреса, по которым можно скачать актуальный список отзыва. Когда 1С инициирует проверку подписи, криптопровайдер выполняет цепочку действий: строит цепочку доверия до корневого удостоверяющего центра, проверяет сроки действия сертификатов и запрашивает CRL, чтобы убедиться, что ни один сертификат в цепочке не отозван.
Удостоверяющий центр отзывает сертификат, если закрытый ключ скомпрометирован, реквизиты организации изменились, сотрудник уволен или сертификат выпущен по ошибке. Отозванный сертификат формально еще действителен по сроку, но подписывать им документы нельзя — именно поэтому проверка CRL обязательна для юридически значимого обмена.
CRL имеет собственный срок действия, обычно от нескольких дней до нескольких недель. После его истечения список считается недействительным, и проверка подписи снова завершится ошибкой, пока не будет загружен свежий список. Это самая частая причина внезапных сбоев: вчера подпись проверялась, сегодня — нет.
Где хранятся CRL и кто их загружает
Загруженные списки отзыва сохраняются в хранилище операционной системы Windows. Посмотреть их можно через оснастку «Сертификаты» (certmgr.msc для текущего пользователя или certlm.msc для компьютера) в разделе «Промежуточные центры сертификации» → «Список отзыва сертификатов». КриптоПро CSP также имеет собственные механизмы кэширования CRL.
Загрузка происходит двумя способами. Автоматический: при проверке подписи криптопровайдер сам обращается по адресам из сертификата и скачивает CRL — для этого нужен доступ в интернет с машины, где выполняется проверка. Ручной: администратор скачивает файл CRL с сайта удостоверяющего центра и устанавливает его в хранилище. Ручной способ актуален для изолированных контуров без выхода в интернет.
В клиент-серверной архитектуре 1С важно понимать, где именно выполняется проверка. Если подпись проверяется на сервере 1С, то и CRL должны быть доступны и актуальны на сервере, а не на компьютере пользователя. Это одна из самых частых причин расхождений: у пользователя на рабочем месте все работает, а при обмене через сервер возникают ошибки.
Какие ошибки указывают на проблемы с CRL
Проблемы со списками отзыва проявляются характерными сообщениями. Формулировки зависят от криптопровайдера и версии платформы, но типовые признаки такие: «Функция отзыва не смогла проверить отзыв, так как сервер отзыва был отключен», «Список отзыва сертификатов (CRL) устарел», «Не удалось проверить статус сертификата», «Цепочка сертификатов обработана, но обработка прервана на корневом сертификате».
Отличить CRL-проблему от других ошибок подписи помогает простая логика. Если сертификат действителен, цепочка до корневого УЦ строится, но проверка все равно падает — почти всегда дело в списках отзыва или доступе к ним. Если же ошибка говорит о недоверенном корневом сертификате, сначала нужно установить корневой сертификат удостоверяющего центра, а уже потом разбираться с CRL.
Дату окончания CRL можно посмотреть в хранилище сертификатов
Установить CRL в хранилище локального компьютера
Настроить ручную установку или прокси
Скачать CRL нового удостоверяющего центра
Как обновить CRL вручную
Ручное обновление — универсальный способ, который работает независимо от настроек автозагрузки. Порядок действий одинаков для большинства удостоверяющих центров, отличаются только адреса страниц загрузки.
- 1Откройте сайт удостоверяющего центра, выдавшего сертификат, и найдите раздел со списками отзыва (обычно «CRL», «Списки отозванных сертификатов» или «Реестр отозванных сертификатов»)
- 2Скачайте актуальный файл CRL (расширение .crl) для вашего удостоверяющего центра — если УЦ несколько в цепочке, нужны списки каждого
- 3Откройте скачанный файл двойным щелчком и нажмите «Установить CRL», выбрав хранилище «Промежуточные центры сертификации»
- 4Для серверной проверки установите CRL через certlm.msc в хранилище локального компьютера, а не текущего пользователя
- 5Перезапустите сеанс 1С или службу агента сервера и повторите проверку подписи
Альтернативный способ для КриптоПро CSP — использовать утилиту командной строки certmgr из состава криптопровайдера. Она позволяет устанавливать CRL из скриптов, что удобно для автоматизации обновления по расписанию на серверах без графического интерфейса.
После установки проверьте результат: откройте сертификат подписанта, на вкладке «Путь сертификации» статус должен быть «Сертификат действителен» без предупреждений. Затем выполните тестовую проверку подписи в 1С — например, проверьте подпись ранее полученного электронного документа.
Как проверить результат
«Сертификат действителен» без предупреждений по всей цепочке
Предупреждение о невозможности проверки отзыва
Дата окончания CRL в будущем
CRL просрочен или отсутствует
Подпись верна, статус сертификата подтвержден
Ошибка проверки статуса сертификата повторяется
Настройка автоматической загрузки CRL
Чтобы не обновлять списки вручную каждые несколько дней, настраивают автоматическую загрузку. Для машин с доступом в интернет достаточно убедиться, что брандмауэр и прокси не блокируют обращения к адресам точек распространения CRL — это обычные HTTP-адреса, указанные в сертификатах. Частая причина сбоев — корпоративный прокси, требующий авторизации: системная служба проверки отзыва работает без пользовательского контекста и не может пройти авторизацию.
Для изолированных контуров применяют сценарий с промежуточной машиной: на сервере с доступом в интернет по расписанию скачиваются CRL нужных удостоверяющих центров, складываются в общую папку, а на рабочих серверах 1С скрипт по расписанию устанавливает их через certmgr. Такой подход требует дисциплины: если расписание сломается, через несколько дней проверки начнут массово падать.
В самой 1С прямой настройки загрузки CRL нет — подсистема электронной подписи опирается на криптопровайдер. Но в настройках обмена электронными документами и 1С-Отчетности можно увидеть результат проверки сертификата и диагностику, которая подскажет, на каком этапе возникла проблема.
Полезно завести список всех удостоверяющих центров, сертификаты которых используются в организации (свой УЦ, УЦ контрагентов по ЭДО, УЦ оператора ЭДО, ФНС). Для каждого зафиксируйте адрес страницы загрузки CRL и периодичность обновления — это сильно ускоряет диагностику, когда проверка подписи внезапно перестает работать.
Типичные ошибки и ограничения
Отдельно стоит упомянуть ограничение производительности. Проверка по CRL при массовой обработке документов (например, при загрузке большого пакета из ЭДО) занимает заметное время, особенно если CRL большие и скачиваются заново. Кэширование списков криптопровайдером смягчает проблему, но на слабых серверах пакетную проверку лучше выполнять в нерабочие часы.
Маршрут решения при ошибках проверки
Как выбрать действие
Итог и частые вопросы
CRL — обязательный элемент инфраструктуры электронной подписи, без которого 1С не может подтвердить действительность сертификата. Большинство проблем сводится к трем причинам: просроченный список отзыва, отсутствие CRL в нужном хранилище (особенно на сервере) и заблокированный доступ к точкам распространения. Регулярное обновление списков и контроль их сроков действия устраняют практически все сбои проверки подписи.
Что важно запомнить
CRL — это список отозванных сертификатов от удостоверяющего центра; 1С проверяет его через криптопровайдер при работе с электронной подписью. Держите CRL актуальными на всех машинах, где выполняется проверка, включая сервер 1С, и не отключайте проверку отзыва ради устранения ошибок.
CRL и отзыв сертификата — это одно и то же?
Нет. Отзыв — это действие удостоверяющего центра по прекращению доверия к конкретному сертификату. CRL — это файл, в котором УЦ публикует перечень всех отозванных сертификатов. Проверка подписи сверяет сертификат именно с этим списком.
Как узнать, какие CRL нужны для моего сертификата?
Откройте сертификат, перейдите на вкладку «Состав» и найдите поле «Точки распространения списков отзыва (CRL)» — там указаны адреса загрузки. Если в цепочке несколько удостоверяющих центров, проверьте это поле у каждого сертификата цепочки на вкладке «Путь сертификации».
Как часто нужно обновлять CRL вручную?
Периодичность определяется сроком действия конкретного списка — он указан в свойствах CRL в хранилище сертификатов. У разных удостоверяющих центров сроки различаются: от нескольких дней до нескольких недель. Практичное правило — обновлять списки с запасом, не дожидаясь истечения срока.
Почему проверка подписи работает у пользователя, но не работает на сервере 1С?
Потому что хранилища сертификатов и CRL привязаны к учетной записи. Сервер 1С выполняет проверку под учетной записью своей службы, и в ее профиле нужных CRL нет. Решение — установить корневые сертификаты и списки отзыва в хранилище локального компьютера, доступное всем учетным записям.
Можно ли работать с электронной подписью в 1С без доступа в интернет?
Да, но потребуется организовать регулярную доставку CRL в изолированный контур: скачивать списки на машине с интернетом и устанавливать их на рабочих местах и серверах вручную или скриптами. Без актуальных CRL проверка подписи будет завершаться ошибкой.
Что делать, если сертификат контрагента оказался в CRL?
Это означает, что удостоверяющий центр отозвал сертификат контрагента. Новые документы, подписанные им, принимать не следует — запросите у контрагента перевыпущенный сертификат. Документы, подписанные до даты отзыва, обычно сохраняют юридическую силу, но спорные ситуации лучше разбирать с юристом.