Где хранятся сертификаты в 1С и как их найти

Вопрос «где в 1С лежат сертификаты» возникает в трёх типовых ситуациях: нужно проверить или перевыпустить сертификат электронной подписи (ЭП), настроить защищённое подключение по SSL/TLS к серверу или веб-сервису, либо разобраться, почему документ не подписывается или обмен с банком не проходит. Проблема в том, что сертификаты в 1С «размазаны» по нескольким местам: часть хранится в самой информационной базе, часть — в хранилище операционной системы, а часть — на токене (Рутокен, eToken, JaCarta).

Понимание этой схемы экономит часы поиска. Например, если подписание работает у одного пользователя и не работает у другого на той же базе — почти наверняка дело в хранилище сертификатов Windows конкретной учётной записи, а не в настройках 1С. Если же после переустановки платформы пропал защищённый обмен — стоит проверить файл cacert.pem в каталоге платформы.

Ниже разобраны все основные места хранения сертификатов в типовых конфигурациях (Бухгалтерия, ЗУП, Управление торговлей, ERP), порядок доступа к ним, проверка результата и типичные ошибки администраторов.

Где в типовой конфигурации найти список сертификатов ЭП

В конфигурациях на базе Библиотеки стандартных подсистем (БСП) — это практически все современные типовые решения — сертификаты электронной подписи регистрируются в специальном справочнике. Путь к нему зависит от конфигурации, но общая логика одинакова: раздел «Администрирование» → «Обмен электронными документами» → «Настройка электронной подписи и шифрования» → вкладка или ссылка «Сертификаты». В 1С:Бухгалтерии путь выглядит как «Администрирование → Обмен электронными документами → Электронная подпись», в ЗУП аналогично через настройки обмена.

Важно понимать: запись в этом справочнике — это не сам сертификат, а его «учётная карточка» в базе 1С. В карточке хранятся отпечаток, сведения о владельце, назначение (подписание, шифрование), ограничения по пользователям и, в зависимости от режима хранения, либо сами данные сертификата, либо ссылка на него в хранилище ОС или на токене. Удаление записи из справочника не удаляет закрытый ключ с токена, и наоборот — наличие сертификата в Windows не означает, что 1С его «видит», пока он не добавлен в программу.

Добавление выполняется кнопкой «Добавить» → «Из установленных на компьютере» (программа покажет сертификаты из хранилища ОС и токенов) или «Из файла», если у вас есть файл .cer. После добавления обязательно проверьте, что в карточке заполнены поля «Кому выдан», «Кем выдан», срок действия и что статус не показывает ошибок.

1. 1
   Откройте «Администрирование» → «Обмен электронными документами»
2. 2
   Перейдите в «Настройка электронной подписи и шифрования»
3. 3
   Откройте список «Сертификаты» и найдите нужный по владельцу или отпечатку
4. 4
   Откройте карточку и проверьте срок действия и привязку к пользователю
5. 5
   Нажмите «Проверить» (если доступно), чтобы убедиться, что закрытый ключ доступен

Хранилище сертификатов Windows: где физически лежат сертификаты

Большинство операций 1С с криптографией выполняется через средства операционной системы или установленный криптопровайдер (КриптоПро CSP, ViPNet CSP). Поэтому «настоящее» место хранения сертификатов — хранилище Windows. Открыть его можно командой certmgr.msc (сертификаты текущего пользователя) или certlm.msc (сертификаты компьютера, требуются права администратора).

Ключевые ветки: «Личное» (Personal) — здесь лежат сертификаты пользователя с привязкой к закрытому ключу; именно их видит 1С при подписании. «Доверенные корневые центры сертификации» — корневые сертификаты, без которых цепочка доверия не строится. «Промежуточные центры сертификации» — промежуточные звенья цепочки. Если сертификат есть в «Личном», но при проверке 1С пишет «не удаётся построить цепочку», почти всегда не хватает корневого или промежуточного сертификата в соответствующих ветках.

Тонкий момент: хранилище привязано к учётной записи Windows. Если 1С работает в клиент-серверном режиме и подписание или шифрование выполняется на сервере, сертификат должен быть установлен в хранилище той учётной записи, под которой работает агент сервера 1С (обычно это локальная системная учётная запись или специальная служебная). Это частая причина ситуации «на клиенте подписывает, через сервер — нет».

certmgr.msc   :: хранилище текущего пользователя
certlm.msc    :: хранилище компьютера (нужны права администратора)

Сертификаты на токенах и в криптопровайдерах

Квалифицированные сертификаты для сдачи отчётности и ЭДО чаще всего выдаются на защищённых носителях — Рутокен, eToken, JaCarta. В этом случае закрытый ключ физически находится внутри устройства и не извлекается, а в хранилище Windows устанавливается только сам сертификат со ссылкой на ключ. Если токен не подключён, не установлены драйверы или истёк PIN-код, 1С покажет сертификат в списке, но подписать документ не сможет.

Проверить видимость ключа можно через панель управления криптопровайдера: для КриптоПро CSP это «КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере», для токенов — фирменная утилита (например, «Панель управления Рутокен»). Там же проверяется срок действия лицензии криптопровайдера — её истечение тоже блокирует подписание, хотя сам сертификат действителен.

SSL-сертификаты: cacert.pem и защищённые соединения

Отдельная история — сертификаты для защищённых HTTPS-соединений, которые платформа 1С использует при обращении к веб-сервисам, сайтам, серверам обновлений и при работе почтового клиента. Платформа проверяет сертификат сервера по файлу доверенных корневых сертификатов cacert.pem, который лежит в каталоге установки платформы (например, C:\Program Files\1cv8\<версия>\bin\cacert.pem) и/или в каталоге conf сервера 1С.

Если при обмене появляется ошибка вида «Ошибка работы с Интернет: Удаленный узел не прошел проверку» или «certificate verify failed», типичные причины такие: у сервера истёк или самоподписанный сертификат; в cacert.pem отсутствует нужный корневой сертификат; файл cacert.pem перезаписался при обновлении платформы. Решение — добавить корневой сертификат соответствующего УЦ в конец файла cacert.pem в формате PEM (текст между строками -----BEGIN CERTIFICATE----- и -----END CERTIFICATE-----) и перезапустить сервер или клиент.

В файловом режиме достаточно обновить cacert.pem на компьютере пользователя. В клиент-серверном режиме соединение с внешними ресурсами часто выполняет сервер 1С — править нужно файл на сервере, а не на клиентских машинах.

Сертификаты в ЭДО, обмене с банками и отчётности

Помимо общей настройки подписи, сертификаты фигурируют в прикладных настройках обменов. В настройках обмена с банками (Директ-банк, 1С:ДиректБанк) сертификат указывается в настройке обмена с конкретным банком: раздел «Администрирование» → «Обмен с банками» → настройка по организации. Там же может храниться сертификат банка для проверки ответов.

В 1С-Отчётности сертификат абонента привязан к учётной записи оператора и настройкам организации: «Отчёты, справки» → «1С-Отчётность» → «Настройки обмена с контролирующими органами». При перевыпуске сертификата в удостоверяющем центре его нужно обновить и здесь, иначе отправка отчётности остановится, хотя в общем списке сертификатов новый сертификат уже будет виден.

В настройках ЭДО (обмен с контрагентами) сертификат указывается в профиле настроек ЭДО по организации. Практическое правило: после перевыпуска сертификата пройдите по всем местам, где использовался старый, — общий справочник, настройки ЭДО, настройки банков, 1С-Отчётность, — и замените привязку. Признак пропущенного места — ошибка «сертификат не найден» или «сертификат недействителен» только в одном конкретном обмене.

Типичные ошибки и ограничения

Самая распространённая ошибка — поиск сертификата «внутри базы 1С» как файла. Информационная база не хранит закрытые ключи в виде файлов в каталоге; поиск по диску ничего не даст. Второе по частоте заблуждение — ожидание, что сертификат, установленный в Windows, автоматически появится во всех информационных базах: в каждой базе его нужно добавить в справочник сертификатов отдельно.

Ещё одна группа проблем связана с правами. Пользователь 1С без прав на настройку электронной подписи не увидит раздел сертификатов; пользователь ОС без доступа к контейнеру закрытого ключа получит ошибку при подписании. В терминальных и серверных сценариях проверяйте, под какой учётной записью выполняется операция, и в чьём хранилище установлен сертификат.

Частые вопросы