Администрирование · 11 мин
Где взять пароль закрытого ключа сертификата в 1С
Где искать пароль закрытого ключа сертификата в 1С: на токене, в контейнере КриптоПро, в настройках программы. Способы восстановления и типичные ошибки.
При подключении электронной подписи к 1С программа запрашивает пароль закрытого ключа — и именно на этом шаге у многих пользователей возникает вопрос, где этот пароль взять. Важно понимать сразу: 1С не создаёт и не хранит этот пароль. Он появляется в момент генерации ключевой пары или выпуска сертификата и известен только тому, кто выполнял эти действия, либо записан в сопроводительных документах удостоверяющего центра.
Место, где искать пароль, зависит от того, как был получен сертификат: через токен (Рутокен, eToken), через файловый контейнер КриптоПро, через облачную подпись или через встроенную криптографию 1С. Ниже разобраны все типовые сценарии, способы проверки пароля и действия при его утере.
Что такое пароль закрытого ключа и почему 1С его не знает
Закрытый ключ — это секретная часть электронной подписи, которая хранится в защищённом контейнере: на токене, в реестре компьютера, на флешке или в облачном хранилище. Доступ к контейнеру защищается паролем (на токенах его часто называют PIN-кодом). Когда 1С подписывает документ или расшифровывает данные, она обращается к криптопровайдеру (КриптоПро CSP, ViPNet CSP и т.п.), и тот запрашивает пароль у пользователя.
1С выступает здесь только посредником: она передаёт запрос криптопровайдеру и не имеет доступа к содержимому контейнера. Поэтому «посмотреть пароль в 1С» невозможно — его там просто нет, если только администратор специально не сохранил его в настройках обмена, что само по себе является риском.
Где искать пароль: основные источники
Первое место, куда стоит обратиться, — документы, полученные при выпуске сертификата. Удостоверяющие центры нередко выдают пароль в запечатанном конверте, указывают его в акте приёма-передачи или отправляют отдельным письмом. Если сертификат получал другой сотрудник (руководитель, бухгалтер, кадровик), уточните у него, какой пароль он задавал.
Второй источник — сам носитель ключа. Если ключ записан на токен, используется PIN-код. Для Рутокенов и eToken существуют стандартные PIN-коды по умолчанию, которые действуют, если их не меняли при инициализации. Проверить это можно через панель управления токена: откройте «Панель управления Рутокен» (или аналогичную утилиту для eToken) и попробуйте стандартный PIN.
Третий вариант — пароль задавался при генерации контейнера средствами КриптоПро. В этом случае пароль придумывал тот, кто создавал ключевую пару: системный администратор, сотрудник УЦ или сам пользователь. Если контейнер создавался без пароля (такое возможно при определённых настройках), 1С всё равно может показывать окно ввода — тогда поле оставляют пустым и нажимают «ОК».
Проверьте документы УЦ и конверт с PIN, попробуйте заводской PIN через панель управления токена
Уточните у администратора или сотрудника, который генерировал ключи; попробуйте пустой пароль
Пароль приходит по SMS или задаётся в приложении сервиса при активации
Вспомните пароль, который вводили при оформлении заявления на сертификат в 1С
Стандартные PIN-коды токенов
Если ключ записан на токен и пароль никто не менял, действует заводской PIN-код. Для Рутокенов стандартный пользовательский PIN — 12345678, для eToken — обычно 1234567890. Точное значение зависит от модели носителя и политики удостоверяющего центра: некоторые УЦ меняют PIN при записи ключа и указывают его в документах.
Аккуратно проверять PIN нужно через панель управления токена, а не через многократные попытки подписания в 1С. Дело в том, что после нескольких неудачных вводов (обычно 3–10 в зависимости от настроек) токен блокируется, и разблокировать его можно только через административный PIN или полную переинициализацию с потерей ключей.
Как проверить пароль вне 1С
Прежде чем вводить пароль в 1С, полезно проверить его напрямую через криптопровайдер — так вы исключите ошибки настройки самой программы. Для КриптоПро CSP откройте панель КриптоПро, перейдите на вкладку «Сервис», выберите «Просмотреть сертификаты в контейнере» и укажите контейнер. Если пароль неверный, криптопровайдер сообщит об этом сразу.
Для токенов используйте штатную утилиту производителя. В «Панели управления Рутокен» есть функция смены PIN-кода: попытка смены требует ввода текущего PIN, что позволяет проверить его корректность без риска для подписания документов.
- 1Определите тип носителя: токен, реестр, флешка или облачный сервис
- 2Проверьте документы удостоверяющего центра и конверт с PIN-кодом
- 3Откройте панель управления токена или КриптоПро и проверьте пароль там
- 4Если пароль подошёл — введите его в 1С при запросе
- 5Если пароль не подошёл — прекратите попытки и обратитесь в УЦ или к администратору
Настройка сертификата в 1С и сохранение пароля
В 1С сертификаты подключаются через раздел «Администрирование» → «Обмен электронными документами» → «Настройки электронной подписи и шифрования» (в разных конфигурациях путь может отличаться). При добавлении сертификата программа находит его через криптопровайдер, а пароль запрашивается в момент первого использования — при подписании, расшифровке или проверке связи.
В некоторых сценариях (например, автоматический обмен ЭДО по расписанию) пароль сохраняют в настройках программы, чтобы обмен работал без участия пользователя. Это удобно, но снижает безопасность: пароль становится доступен всем, кто имеет права администратора в базе. Используйте сохранение пароля только для служебных сертификатов с ограниченными полномочиями.
Что делать, если пароль утерян
Главное ограничение: пароль закрытого ключа не восстанавливается. Ни удостоверяющий центр, ни разработчик криптопровайдера, ни 1С не могут его «подсказать» — он не хранится в открытом виде ни на серверах УЦ, ни в программе. Это принципиальное свойство защиты закрытого ключа.
Если ключ на токене и PIN утерян, уточните в УЦ или у администратора, есть ли административный PIN (PUK) для разблокировки. При наличии PUK можно сбросить пользовательский PIN и задать новый без потери ключей. Если PUK тоже неизвестен, токен придётся переинициализировать, а сертификат — перевыпускать.
Если контейнер находится в реестре или на флешке и пароль утерян, единственный выход — отозвать старый сертификат и выпустить новый с новой ключевой парой. Обратитесь в удостоверяющий центр, который выдавал сертификат: процедура перевыпуска обычно занимает от нескольких часов до нескольких дней в зависимости от тарифа и типа подписи.
Как выбрать действие
Типичные ошибки и как их избежать
Самая частая ошибка — путаница между паролем пользователя 1С, паролем от личного кабинета УЦ и паролем закрытого ключа. Это три разных секрета: пароль 1С открывает доступ к базе, пароль кабинета — к сайту удостоверяющего центра, а пароль ключа — к контейнеру подписи. Ввод пароля от кабинета в окно запроса криптопровайдера не сработает.
Вторая распространённая ситуация — попытка использовать сертификат с другого компьютера без переноса контейнера. Сертификат (открытая часть) может быть установлен в системе, но если контейнер закрытого ключа остался на старом компьютере или на другом токене, подписание не выполнится независимо от правильности пароля. Проверяйте привязку сертификата к контейнеру через КриптоПро.
Проверка результата
После ввода пароля убедитесь, что подпись реально работает. В 1С для этого есть штатные средства: в настройках электронной подписи выполните проверку сертификата или подпишите тестовый документ. Успешное подписание без повторного запроса пароля (если он сохранён на сеанс) подтверждает, что связка «сертификат — контейнер — пароль» настроена корректно.
Как проверить результат
Документ подписан, подпись отображается как действительная
Ошибка «неверный пароль» или «контейнер не найден»
Сертификат открывается со ссылкой на закрытый ключ
Отметка «закрытый ключ не найден»
Сертификат действителен на текущую дату
Сертификат просрочен — пароль не поможет, нужен перевыпуск
Что важно запомнить
Пароль закрытого ключа задаётся при выпуске сертификата и не хранится в 1С. Ищите его в документах УЦ, на токене (заводской PIN) или у сотрудника, получавшего ключ. Проверяйте пароль через панель управления носителя, а не перебором в 1С. При утере пароль не восстанавливается — требуется разблокировка по PUK или перевыпуск сертификата.
Частые вопросы
Можно ли посмотреть сохранённый пароль ключа в настройках 1С?
Нет. Даже если пароль был сохранён в настройках обмена, он хранится в защищённом виде и не отображается в интерфейсе. Просмотреть его в открытом виде штатными средствами нельзя — только ввести заново.
1С просит пароль, а при получении сертификата пароль не задавали. Что вводить?
Попробуйте оставить поле пустым и подтвердить ввод — контейнер мог быть создан без пароля. Если ключ на токене, введите PIN-код носителя: заводской или тот, что указан в документах УЦ.
Сколько попыток ввода пароля есть до блокировки токена?
Количество попыток зависит от модели токена и настроек, заданных при инициализации — обычно от 3 до 10. Точное значение уточняйте в документации носителя или у удостоверяющего центра. После исчерпания попыток токен блокируется и требует разблокировки через PUK или переинициализации.
Пароль точно правильный, но 1С выдаёт ошибку. В чём причина?
Проверьте, установлен ли и лицензирован ли криптопровайдер (КриптоПро CSP или ViPNet CSP), видит ли система токен, не истёк ли срок действия сертификата и привязан ли сертификат к контейнеру закрытого ключа. Ошибка «неверный пароль» иногда маскирует проблемы с доступом к контейнеру.
Можно ли сменить пароль закрытого ключа?
Да, если известен текущий пароль. На токене PIN меняется через панель управления носителя, для контейнера КриптоПро — через функцию смены пароля контейнера в панели КриптоПро. Без текущего пароля сменить его нельзя.
Чем облачная подпись отличается в плане пароля?
При облачной подписи закрытый ключ хранится на сервере провайдера, а вместо пароля контейнера используется подтверждение через SMS-код или мобильное приложение. Пароль задаётся в личном кабинете сервиса при активации и восстанавливается через стандартную процедуру сброса — в отличие от пароля локального контейнера.