Как отключить проверку сертификата в 1С

При обращении из 1С к внешним сервисам по HTTPS платформа проверяет сертификат сервера: срок действия, цепочку доверия, соответствие имени хоста. Если проверка не проходит, соединение обрывается с ошибкой вида «Ошибка при проверке сертификата» или «Удаленный сертификат недействителен». В рабочих сценариях это защитный механизм, но при разработке, тестировании интеграций и работе с внутренними сервисами с самоподписанными сертификатами он мешает.

Отключить проверку можно на уровне кода встроенного языка — через объект защищённого соединения, который передаётся в HTTPСоединение, WS-прокси или определения веб-сервисов. Глобального переключателя «не проверять сертификаты» в настройках платформы нет, поэтому все действия выполняются либо в коде конфигурации, либо настройкой хранилища сертификатов операционной системы.

Прежде чем отключать проверку, важно понимать: самоподписанный или просроченный сертификат — это симптом. Правильное решение для продуктивного контура — установить корневой сертификат удостоверяющего центра в доверенные или перевыпустить сертификат сервера. Отключение проверки оставляйте как временную меру для отладки.

Когда отключение проверки оправдано, а когда нет

Отключение проверки сертификата уместно в ограниченном наборе ситуаций: локальная разработка с тестовым стендом, отладка обмена с внутренним сервисом, где сертификат выпущен собственным центром сертификации, временный запуск интеграции до момента выпуска нормального сертификата. Во всех этих случаях трафик не покидает контролируемый контур, и риск перехвата минимален.

Недопустимо отключать проверку в продуктивных обменах с внешними системами: банками, операторами ЭДО, государственными сервисами, платёжными шлюзами. Без проверки сертификата соединение уязвимо для атаки «человек посередине» — злоумышленник может подменить сервер и перехватить логины, токены и передаваемые данные. Если внешний сервис выдаёт ошибку сертификата, проблему решают обновлением хранилища доверенных корневых сертификатов, а не отключением проверки.

Как устроена проверка сертификата в платформе 1С

Защищённое соединение в 1С реализуется объектом OpenSSLSecureConnection (в русском синтаксисе — ЗащищенноеСоединениеOpenSSL). Конструктор объекта принимает два параметра: сертификат клиента (если требуется двусторонняя аутентификация) и сертификаты удостоверяющих центров для проверки сервера. Именно второй параметр управляет проверкой.

Если передать в конструктор объект СертификатыУдостоверяющихЦентровОС, платформа будет проверять сервер по системному хранилищу доверенных корневых сертификатов операционной системы. Если передать Неопределено или объект без фактической проверки — поведение зависит от версии платформы и контекста. Ключевой момент: поведение по умолчанию различается, поэтому явное указание параметров делает код предсказуемым.

Отключение проверки в HTTPСоединение

Для HTTP-запросов из кода 1С защищённое соединение создаётся явно и передаётся в конструктор HTTPСоединение. Чтобы отключить проверку сертификата сервера, создайте объект защищённого соединения без указания сертификатов удостоверяющих центров, либо с пустым набором — в зависимости от версии платформы поведение может отличаться, поэтому проверяйте на конкретном релизе.

Типовой фрагмент кода выглядит так:

ЗащищенноеСоединение = Новый ЗащищенноеСоединениеOpenSSL(
Неопределено,
Неопределено);

Соединение = Новый HTTPСоединение(
"test-server.local",
443,
,
,
,
,
ЗащищенноеСоединение);

Запрос = Новый HTTPЗапрос("/api/data");
Ответ = Соединение.Получить(Запрос);

ЗащищенноеСоединение = Новый ЗащищенноеСоединениеOpenSSL(Неопределено, Неопределено);
Соединение = Новый HTTPСоединение("test-server.local", 443, , , , , ЗащищенноеСоединение);

После выполнения запроса проверьте код ответа: значение 200 означает, что соединение установлено и сервер ответил. Если ошибка сертификата исчезла, но появилась ошибка 401 или 403 — TLS-слой работает, а проблема уже в авторизации, что является другой задачей.

Отключение проверки для веб-сервисов (WS-ссылки и WS-прокси)

При работе с SOAP веб-сервисами через WS-ссылки защищённое соединение задаётся при создании WS-прокси. В конструктор WSПрокси передаётся тот же объект ЗащищенноеСоединениеOpenSSL, что и для HTTP. Логика отключения проверки идентична: создаёте объект без указания хранилища доверенных центров и передаёте его параметром.

Если веб-сервис подключён как внешняя WS-ссылка в дереве конфигурации, прокси создаётся через менеджер ссылки: WSСсылки.ИмяСсылки.СоздатьWSПрокси(...). В этот метод также передаётся объект защищённого соединения. Убедитесь, что вы передаёте его именно при создании прокси, а не полагаетесь на настройки по умолчанию — иначе проверка останется включённой.

Для программного создания определения сервиса используется конструктор WSОпределения с указанием URL WSDL и защищённого соединения. Учтите: загрузка самого WSDL-описания тоже идёт по HTTPS, поэтому если сертификат недоверенный, ошибка возникнет уже на этапе создания определения, до вызова любого метода.

Альтернатива: добавить сертификат в доверенные вместо отключения проверки

Более безопасный путь — не отключать проверку, а сделать сертификат сервера доверенным. Для этого корневой сертификат вашего центра сертификации (или самоподписанный сертификат сервера) добавляется в хранилище доверенных корневых сертификатов операционной системы на сервере 1С или на клиентском компьютере — в зависимости от того, где выполняется код.

В Windows это делается через оснастку certmgr.msc или командой certutil -addstore Root файл.cer с правами администратора. В Linux сертификат копируется в каталог доверенных (например, /usr/local/share/ca-certificates) с последующим обновлением хранилища командой update-ca-certificates. После этого в коде используется Новый СертификатыУдостоверяющихЦентровОС, и проверка проходит штатно.

Где выполняется код: тонкости клиент-серверного режима

Частая причина «не работает отключение» — код выполняется не там, где ожидает разработчик. В клиент-серверной базе вызов веб-сервиса из серверной процедуры выполняется на сервере 1С, и хранилище сертификатов берётся с сервера. Тот же вызов из клиентской процедуры выполняется на рабочем месте пользователя. Если вы добавили сертификат на свою машину, а обмен работает на сервере — ошибка сохранится.

Учитывайте также контекст фоновых заданий и регламентных операций: они всегда выполняются на сервере. Поэтому настройку сертификатов для автоматических обменов делайте именно на сервере 1С, под той учётной записью, под которой работает служба агента сервера, либо в общесистемном хранилище.

Проверка результата и типичные ошибки

После изменений выполните тестовый вызов и зафиксируйте результат. Признак успеха — HTTP-код 200 или корректный SOAP-ответ без исключений. Если возникает ошибка «Сертификат не доверенный» даже после отключения проверки, убедитесь, что объект защищённого соединения действительно передан в конструктор соединения, а не создан, но не использован.

Частые вопросы