Как обновить сертификаты 1С: полная инструкция

Ошибки вида «сертификат просрочен», «не удалось проверить подлинность» или сбои при обмене с ЭДО, банками и государственными порталами в 1С чаще всего означают, что пришло время обновить сертификаты. Речь может идти о трёх разных вещах: сертификате ключа электронной подписи организации или сотрудника, корневых сертификатах удостоверяющих центров и сертификатах защищённого соединения (TLS). Порядок действий в каждом случае свой, и путать их нельзя.

Прежде чем что-либо обновлять, определите, какой именно сертификат вызвал проблему. Ошибка при подписании документа указывает на сертификат электронной подписи. Ошибка при подключении к сервису 1С-Отчётность, ЭДО или сайту по защищённому соединению — чаще на корневые или TLS-сертификаты. Текст ошибки в журнале регистрации или в окне сообщения обычно содержит прямое указание.

Обновление сертификата электронной подписи — процедура с участием удостоверяющего центра, её нельзя выполнить полностью «внутри» 1С. А вот установку корневых сертификатов, обновление криптопровайдера и проверку цепочки доверия администратор может сделать самостоятельно. Ниже разобраны оба сценария с проверкой результата.

Как определить, какой сертификат нужно обновить

Первый шаг — диагностика. Откройте журнал регистрации (в режиме конфигуратора или через раздел администрирования в типовых конфигурациях) и найдите событие с ошибкой. Формулировки вроде «сертификат не действителен», «истёк срок действия сертификата», «не удаётся построить цепочку сертификатов» указывают на проблему с конкретным сертификатом или с цепочкой доверия.

Проверьте срок действия сертификата подписи: в 1С откройте настройки обмена электронными документами или подписания, выберите сертификат и посмотрите поля «Действителен с» и «Действителен по». Тот же срок виден в оснастке Windows «Сертификаты» (certmgr.msc) в хранилище «Личное». Если срок истёк или истекает в ближайшие недели — планируйте перевыпуск.

Обновление сертификата электронной подписи через удостоверяющий центр

Сертификат ключа проверки электронной подписи выдаёт аккредитованный удостоверяющий центр (УЦ). Самостоятельно «продлить» его нельзя — выпускается новый сертификат и, как правило, новая ключевая пара. Обратитесь в свой УЦ заранее, до истечения срока действия, чтобы не было перерыва в работе ЭДО и отчётности. Для юридических лиц обычно потребуются документы организации и подтверждение полномочий владельца.

После выпуска вы получите файл сертификата (обычно с расширением .cer) и контейнер закрытого ключа — на токене (Рутокен, eToken, JaCarta) или в реестре компьютера. Никогда не передавайте контейнер закрытого ключа третьим лицам и не храните его копии в общедоступных папках: компрометация ключа означает, что подписывать документы от вашего имени сможет кто угодно.

Установка нового сертификата в Windows и криптопровайдер

Убедитесь, что на компьютере установлен актуальный криптопровайдер — КриптоПро CSP или ViPNet CSP, а также средства работы с токеном (драйверы носителя). Устаревшая версия криптопровайдера — частая причина того, что новый сертификат не виден или не работает. Проверьте лицензию криптопровайдера: при истёкшей лицензии подписание работать не будет.

Установите сертификат в хранилище «Личное» текущего пользователя или компьютера. Удобнее всего это сделать через панель криптопровайдера (например, в КриптоПро CSP — вкладка «Сервис», «Просмотреть сертификаты в контейнере», затем «Установить личный сертификат»). Такой способ автоматически привязывает сертификат к контейнеру закрытого ключа, чего не даёт простая установка двойным щелчком по файлу.

1. 1
   Подключите токен с контейнером закрытого ключа или убедитесь, что контейнер доступен
2. 2
   Откройте панель криптопровайдера и найдите функцию просмотра сертификата в контейнере
3. 3
   Установите личный сертификат через криптопровайдер, чтобы сохранилась привязка к ключу
4. 4
   Откройте certmgr.msc и проверьте, что сертификат появился в хранилище «Личное» и не имеет предупреждений
5. 5
   Установите корневой сертификат удостоверяющего центра в хранилище «Доверенные корневые центры сертификации», если он отсутствует

Привязка нового сертификата в 1С

В типовых конфигурациях (1С:Бухгалтерия, 1С:Управление торговлей, 1С:ERP и других) откройте раздел «Администрирование» → «Обмен электронными документами» → «Настройки электронной подписи и шифрования» или «Профили настроек ЭДО». Добавьте новый сертификат из списка установленных, укажите для него программы подписания и шифрования и проверьте, что тест подписания проходит успешно.

Если используется сервис 1С-ЭДО или 1С-Отчётность, новый сертификат нужно также зарегистрировать в настройках соответствующего сервиса. Для 1С-Отчётности при смене сертификата может потребоваться переотправка заявления на подключение или обновление настроек обмена с контролирующими органами — уточните порядок в разделе настроек обмена.

Старый сертификат не удаляйте сразу: он нужен для проверки подписи на ранее подписанных документах. В настройках можно снять с него использование для новых подписей, оставив доступным для верификации.

Обновление корневых и TLS-сертификатов

Ошибки при подключении 1С к внешним сервисам по защищённому соединению (например, «ошибка работы с Интернет: server certificate verification failed») обычно решаются обновлением корневых сертификатов. Для сервисов, использующих российские ГОСТ-сертификаты (государственные порталы, некоторые банки), потребуется установить корневой сертификат национального удостоверяющего центра и обновлённый список отзыва.

Порядок действий: скачайте актуальные корневые сертификаты с официального ресурса удостоверяющего центра, установите их в хранилище «Доверенные корневые центры сертификации» локального компьютера, при необходимости установите промежуточные сертификаты в соответствующее хранилище. После этого перезапустите клиент 1С и повторите подключение.

Дополнительно проверьте, что на компьютере или сервере установлена поддерживаемая версия платформы 1С:Предприятие и операционной системы: устаревшие версии могут не поддерживать современные версии протокола TLS, и тогда обновление сертификатов проблему не решит — потребуется обновление самого ПО.

Маршрут решения

Как выбрать действие

Истёк срок сертификата подписиОбратитесь в удостоверяющий центр за перевыпуском, затем установите и привяжите новый сертификат

Сертификат действителен, но 1С сообщает о невозможности проверить цепочкуУстановите или обновите корневой и промежуточные сертификаты УЦ

Ошибка TLS при подключении к внешнему сервисуОбновите корневые сертификаты и проверьте версию платформы и ОС

Сертификат установлен, но не виден в 1СПроверьте привязку к закрытому ключу и лицензию криптопровайдера

Проверка результата и типичные ошибки

После всех действий выполните контрольную проверку: подпишите тестовый документ, отправьте тестовый запрос в сервис ЭДО или отчётности, убедитесь, что в журнале регистрации нет новых ошибок. Проверьте сертификат двойным щелчком в certmgr.msc — на вкладке «Общие» должно быть указано, что сертификат действителен и есть ссылка на закрытый ключ.

Контрольные точки

Как проверить результат

Свойства сертификата в certmgr.msc

Норма

Статус «сертификат действителен», есть ссылка на закрытый ключ

Тревожный признак

Предупреждение о цепочке или отсутствие закрытого ключа

Тест подписания в 1С

Норма

Документ подписывается без ошибок

Тревожный признак

Ошибка подписания или сертификат не отображается в списке

Подключение к сервису ЭДО или отчётности

Норма

Обмен выполняется штатно

Тревожный признак

Ошибка проверки сертификата сервера или таймаут

Если после выполнения всех шагов проблема сохраняется, соберите диагностическую информацию: текст ошибки, скриншот свойств сертификата, версию платформы и криптопровайдера — и обратитесь к специалисту по сопровождению 1С или в поддержку удостоверяющего центра. Самостоятельные эксперименты с реестром и системными хранилищами без понимания последствий могут нарушить работу других программ, использующих криптографию.

Частые вопросы

Можно ли продлить сертификат электронной подписи без визита в удостоверяющий центр?

Часть удостоверяющих центров выпускает сертификаты дистанционно, если у вас уже есть действующая подпись и подтверждённые данные. Однако при первичном получении или смене реквизитов обычно требуется личное подтверждение личности. Порядок зависит от конкретного УЦ — уточняйте условия у своего оператора.

Что будет с документами, подписанными старым сертификатом, после его замены?

Документы, подписанные в период действия старого сертификата, остаются юридически значимыми. Для их проверки нужен сам старый сертификат и актуальный на тот момент список отзыва, поэтому старый сертификат следует хранить, не удаляя из системы.

Почему 1С не видит новый сертификат, хотя он установлен?

Чаще всего сертификат установлен без привязки к контейнеру закрытого ключа, установлен не в то хранилище (пользователя вместо компьютера или наоборот) либо истекла лицензия криптопровайдера. Проверьте сертификат через панель криптопровайдера и переустановите его с привязкой к контейнеру.

Нужно ли обновлять сертификаты на сервере 1С отдельно?

Да, если подписание или обмен выполняются на стороне сервера. Сертификаты, криптопровайдер и доступ к контейнеру ключа должны быть настроены на сервере под учётной записью агента сервера 1С. Настройки на клиентском компьютере в этом случае не влияют на серверные операции.

Как узнать, когда истекает сертификат, чтобы не пропустить срок?

Срок действия виден в свойствах сертификата в certmgr.msc и в настройках ЭДО в 1С. Рекомендуется поставить напоминание за несколько недель до даты окончания: перевыпуск в удостоверяющем центре и настройка занимают время, а с просроченным сертификатом подписание и обмен остановятся.

Можно ли использовать один сертификат на нескольких компьютерах?

Да, если скопировать контейнер закрытого ключа (при использовании переносного носителя или экспортируемого контейнера) и установить сертификат на каждом компьютере. Однако копирование ключа снижает безопасность: оценивайте риски и следуйте внутренним правилам информационной безопасности организации.