Администрирование · 14 мин
Как обновить ключи ЭЦП в 1С
Как обновить ключи электронной подписи в 1С: выпуск нового сертификата, установка в хранилище, настройка программы, проверка подписания и типичные ошибки.
Электронная подпись в 1С используется для обмена документами с контрагентами, сдачи отчётности и подписания внутренних файлов. Срок действия сертификата ключа ограничен — обычно он составляет от года до полутора лет в зависимости от удостоверяющего центра и типа подписи. Когда срок истекает, программа перестаёт подписывать документы, отправка отчётности блокируется, а при обмене ЭДО возникают ошибки. Чтобы этого не произошло в разгар сдачи отчётов, ключи нужно обновить заранее.
Обновление ключа ЭЦП — это не просто замена файла. Процедура включает выпуск нового сертификата в удостоверяющем центре, установку его в систему, привязку к учётной записи в 1С и проверку работоспособности. На каждом этапе есть нюансы: например, если старый сертификат удалить слишком рано, нельзя будет расшифровать входящие документы, подписанные для него.
Ниже разобран полный порядок обновления ключей: от проверки срока действия до тестового подписания. Инструкция подходит для типовых конфигураций — «1С:Бухгалтерия», «1С:ЗУП», «1С:Управление торговлей» и других решений на платформе 8.3, где работа с подписью реализована через стандартную подсистему «Электронная подпись».
Когда требуется обновление ключей и как проверить срок действия
Основная причина обновления — истечение срока действия сертификата. Проверить дату можно прямо в 1С: откройте раздел «Администрирование» → «Обмен электронными документами» → «Настройки электронной подписи и шифрования» (в некоторых конфигурациях путь — «Администрирование» → «Общие настройки» → «Электронная подпись»). В списке сертификатов отображается колонка «Действителен до». Если до окончания осталось меньше месяца, пора начинать процедуру перевыпуска.
Вторая причина — компрометация ключа: утеря токена, подозрение на копирование закрытой части ключа, увольнение сотрудника, у которого был доступ к подписи. В этом случае действовать нужно немедленно: сначала отозвать сертификат в удостоверяющем центре, затем выпустить новый. Третья ситуация — смена реквизитов организации (наименование, ИНН, адрес) или ФИО и должности владельца подписи: такие данные зашиты в сертификат, и при их изменении требуется перевыпуск.
Также ключи приходится обновлять при смене формата подписи или переходе на новые требования операторов ЭДО и ФНС. Регулярно сверяйте, принимает ли ваш оператор сертификаты вашего типа, — об этом обычно сообщают заранее, но пропустить уведомление легко.
Начните перевыпуск заранее, чтобы не остаться без подписи в период отчётности
Проверьте даты действия и статус в удостоверяющем центре
Отзовите сертификат в УЦ и только потом выпускайте новый
Старый сертификат содержит устаревшие данные и может быть отклонён контрагентами
Подготовка: что сделать до перевыпуска сертификата
Перед обращением в удостоверяющий центр убедитесь, что у вас есть актуальный комплект документов для выпуска: паспорт владельца подписи, СНИЛС, ИНН организации, а для юридических лиц — документы, подтверждающие полномочия подписанта. Точный перечень зависит от УЦ и типа подписи (квалифицированная для руководителя, для сотрудника, машиночитаемая доверенность и т. д.).
Проверьте техническую сторону: установлены ли на рабочем месте средства криптозащиты (КриптоПро CSP, ViPNet CSP или другой провайдер, с которым работает ваш сертификат) и актуальны ли их версии. Если планируется выпуск ключа на токен (Рутокен, JaCarta и подобные), убедитесь, что носитель исправен, драйверы установлены, а на токене есть свободная память для нового контейнера ключа.
Если обновление связано со сменой компьютера или переустановкой системы, заранее сохраните контейнеры закрытых ключей, если они ещё нужны, и зафиксируйте, какие сертификаты привязаны к каким учётным записям обмена в 1С. Список учётных записей ЭДО и настроек подписи удобно сфотографировать или выгрузить — это ускорит восстановление настроек.
Выпуск нового сертификата в удостоверяющем центре
Новый сертификат выпускается в аккредитованном удостоверяющем центре. Если у вас действует договор с оператором ЭДО, часто перевыпуск доступен прямо из личного кабинета оператора или даже из интерфейса 1С — в ряде конфигураций реализовано заявление на выпуск сертификата через сервис «1С-Отчётность» или подключённого оператора. Заявление формируется в программе, подписывается, и после проверки документов сертификат выдаётся дистанционно или при личном визите.
При выпуске выберите, где будет храниться закрытый ключ: на токене, в реестре компьютера или в облачном хранилище оператора. Токен надёжнее с точки зрения безопасности и удобен при работе на разных компьютерах. Облачная подпись избавляет от установки криптопровайдера, но требует постоянного доступа к сервису и подтверждения подписания через SMS или приложение.
После выпуска получите файл сертификата открытого ключа (обычно с расширением .cer) и убедитесь, что контейнер закрытого ключа доступен на рабочем месте. Если выпуск проходил на токен, контейнер уже на носителе; если ключ генерировался в облаке — установка закрытой части не требуется, подписание выполняется через сервис.
Варианты хранения ключа
Высокая защита закрытого ключа, переносимость между компьютерами. Ограничение: нужен физический носитель и установленные драйверы
Быстрая настройка, не нужен носитель. Ограничение: ключ привязан к конкретному рабочему месту, выше риск копирования
Работает без криптопровайдера и токена, удобна для нескольких сотрудников. Ограничение: зависимость от доступности сервиса и подтверждение каждого подписания
Установка сертификата в систему и привязка к закрытому ключу
Откройте файл сертификата двойным щелчком и установите его через мастер Windows: выберите «Установить сертификат» → «Текущий пользователь» → хранилище «Личные». Если сертификатом будут пользоваться несколько учётных записей Windows на этом компьютере, установку выполняют в хранилище локального компьютера, но для этого нужны права администратора.
Критичный шаг — привязка сертификата к контейнеру закрытого ключа. Если контейнер находится на токене или в реестре, проще всего выполнить установку через интерфейс криптопровайдера: в КриптоПро CSP это «Сервис» → «Установить личный сертификат» с указанием контейнера. Тогда связь «сертификат — закрытый ключ» устанавливается автоматически. Проверить её можно в свойствах сертификата: на вкладке «Общие» должна быть строка «Есть закрытый ключ для этого сертификата».
Дополнительно установите цепочку доверия: корневой сертификат удостоверяющего центра — в хранилище «Доверенные корневые центры сертификации», промежуточный — в «Промежуточные центры сертификации». Обычно УЦ выдаёт их вместе с сертификатом или публикует на своём сайте. Без полной цепочки 1С и операторы ЭДО будут считать подпись недействительной, даже если сам сертификат корректен.
Добавление нового сертификата в 1С
В программе откройте «Администрирование» → «Обмен электронными документами» → «Настройки электронной подписи и шифрования» и перейдите в справочник сертификатов. Нажмите «Добавить» → «Из установленных на компьютере» — программа покажет список сертификатов из хранилища, доступных текущему пользователю. Выберите новый сертификат и сохраните.
Далее привяжите сертификат к учётным записям. Для ЭДО откройте настройки обмена с контрагентами («Учётные записи ЭДО») и в карточке учётной записи добавьте новый сертификат в список доступных для подписания. Если используется «1С-Отчётность», новый сертификат подтянется в настройки обмена с контролирующими органами — проверьте, что он выбран как действующий для нужной организации.
Если в компании несколько сотрудников подписывают документы, настройте маршруты подписания: в карточке сертификата или в настройках подписания укажите, какие виды документов подписывает каждый сотрудник. После перевыпуска ключа руководителя не забудьте обновить сертификат во всех маршрутах, где фигурировал старый.
Проверка результата и тестовое подписание
После настройки выполните контрольную проверку. Создайте тестовый документ (например, черновик счёта или внутренний файл), подпишите его новым сертификатом и убедитесь, что подпись формируется без ошибок. Затем проверьте подпись: в карточке подписи должен отображаться статус «Подпись верна», а в данных сертификата — новые даты действия.
Второй этап — проверка в реальном обмене. Отправьте контрагенту тестовый документ через ЭДО и дождитесь подтверждения доставки. Если оператор отклоняет подпись, типичные причины — незарегистрированный у оператора сертификат (его нужно привязать в личном кабинете оператора) или неполная цепочка доверия. Для отчётности проверьте, что в «1С-Отчётности» проходит проверка соединения с контролирующими органами.
Отдельно убедитесь, что входящие документы, адресованные старому сертификату, по-прежнему открываются и расшифровываются. Только после этого старый сертификат можно пометить как неиспользуемый в 1С, а позже — удалить из хранилища.
Как проверить результат
Есть строка «Есть закрытый ключ для этого сертификата»
Закрытый ключ не найден — подписание будет невозможно
Подпись создаётся, статус «Подпись верна»
Ошибка криптопровайдера или «сертификат недействителен»
Документ доставлен, контрагент получил корректную подпись
Оператор отклоняет подпись — сертификат не привязан в ЛК оператора
Документы открываются и расшифровываются
Ошибка расшифровки — старый контейнер удалён преждевременно
Типичные ошибки и ограничения при обновлении
Самая частая ошибка — сертификат установлен без привязки к контейнеру закрытого ключа. Внешне всё выглядит корректно, сертификат виден в 1С, но при подписании возникает ошибка. Лечится установкой сертификата через криптопровайдер с указанием контейнера. Вторая типичная проблема — сертификат добавлен в 1С, но не привязан к учётной записи ЭДО или личному кабинету оператора: программа подписывает документ, а оператор его отклоняет.
Учитывайте ограничение прав: настройка сертификатов в 1С требует прав администратора или доступа к подсистеме электронной подписи, а установка в хранилище локального компьютера — административных прав в Windows. В серверном варианте помните, что подписание может выполняться на сервере, и настраивать криптографию нужно именно там.
Ещё одна ошибка — перевыпуск «в последний день». Между заявлением в УЦ и получением рабочего сертификата проходит время на проверку документов, а настройка и регистрация у оператора добавляют ещё времени. Закладывайте запас минимум в несколько рабочих дней, а при смене реквизитов организации — больше.
Частые вопросы
Можно ли обновить ключ ЭЦП, не обращаясь в удостоверяющий центр?
Нет. Выпуск и перевыпуск квалифицированного сертификата выполняет только аккредитованный УЦ. Из 1С можно лишь сформировать заявление на выпуск, если подключён соответствующий сервис, но саму выдачу всё равно выполняет удостоверяющий центр после проверки документов.
Что будет с документами, подписанными старым сертификатом?
Они остаются юридически значимыми, если на момент подписания сертификат действовал. Проверка таких подписей выполняется по дате подписания, а не по текущей дате. Однако для расшифровки входящих документов, адресованных старому сертификату, нужен его закрытый ключ — поэтому контейнер нельзя удалять сразу.
Нужно ли заново настраивать обмен с каждым контрагентом?
Как правило, нет. Достаточно добавить новый сертификат в учётную запись ЭДО в 1С и привязать его в личном кабинете оператора. Приглашения и настройки обмена с контрагентами при этом сохраняются. Исключение — если оператор требует повторной регистрации сертификата для каждого роуминга или отдельных сетей.
Можно ли использовать один новый сертификат на нескольких компьютерах?
Да, если ключ хранится на токене — носитель просто подключается к нужному компьютеру с установленным криптопровайдером. При хранении в реестре потребуется перенос контейнера закрытого ключа, что снижает безопасность. Облачная подпись решает вопрос переноса полностью, так как ключ хранится у оператора.
Почему 1С не видит новый сертификат в списке при добавлении?
Чаще всего сертификат установлен не в то хранилище (например, в хранилище компьютера, а 1С запущена без доступа к нему) или установка выполнена под другой учётной записью Windows. Проверьте хранилище «Личные» текущего пользователя и перезапустите 1С после установки. Если сертификат облачный, он добавляется через настройки сервиса оператора, а не из системного хранилища.
Что делать, если срок сертификата уже истёк и отчётность не отправляется?
Подписать документы просроченным сертификатом нельзя — потребуется срочный перевыпуск в УЦ. На время ожидания уточните у оператора или в приёмном органе возможные альтернативы (например, подача отчётности на бумаге или через представителя), чтобы не пропустить сроки. Впредь настройте напоминание об окончании срока за 30–45 дней.
Что важно запомнить
Обновление ключей ЭЦП в 1С — это цепочка: перевыпуск сертификата в УЦ, установка с привязкой к закрытому ключу, добавление в 1С и учётные записи ЭДО, тестовое подписание. Начинайте процедуру заранее, не удаляйте старый контейнер до обработки всех входящих документов и не забывайте регистрировать новый сертификат у оператора обмена.