Как поменять ключ ЭЦП в 1С 8.3

Замена ключа электронной подписи в 1С 8.3 требуется при истечении срока действия сертификата, смене сотрудника, компрометации закрытого ключа или переходе на новый токен. Сама процедура состоит из двух частей: установки нового сертификата в операционную систему и обновления настроек внутри 1С. Если пропустить любой из этапов, программа будет либо подписывать документы старым ключом, либо выдавать ошибку.

Важно понимать: 1С не хранит закрытый ключ внутри базы. Программа обращается к криптопровайдеру (КриптоПро CSP, ViPNet CSP) и к хранилищу сертификатов Windows. Поэтому замена ключа начинается не в 1С, а в операционной системе и в криптопровайдере. Только после того как система «увидела» новый сертификат и связанный с ним закрытый ключ, можно переходить к настройкам конфигурации.

Ниже описан полный порядок действий для типовых конфигураций на управляемых формах (Бухгалтерия предприятия 3.0, Управление торговлей 11, ЗУП 3.1, ERP), а также особенности обмена с контрагентами через ЭДО и проверки результата.

Когда требуется замена ключа ЭЦП

Наиболее частая причина — истечение срока действия квалифицированного сертификата. Обычно сертификат выдаётся на ограниченный срок, и удостоверяющий центр заранее выпускает новый. Вторая типичная ситуация — смена сотрудника, на которого оформлена подпись: увольнение, перевод, изменение фамилии. В этом случае старый ключ нужно отозвать через удостоверяющий центр, а новый получить на другого сотрудника.

Также замена требуется при смене носителя (например, переход с обычного токена на Рутокен ЭЦП с неизвлекаемым ключом), при подозрении на компрометацию закрытой части ключа, при смене реквизитов организации, входящих в сертификат, и при переходе на новый формат ключей по требованию удостоверяющего центра или регулятора.

Подготовка: что проверить до замены

Перед началом убедитесь, что у вас есть новый сертификат и закрытый ключ — на токене, в реестре или в файловом контейнере. Проверьте, что на компьютере установлен криптопровайдер с действующей лицензией: без действующей лицензии КриптоПро CSP или ViPNet CSP подписание работать не будет, даже если сертификат установлен корректно. Также потребуются права администратора на компьютере для установки сертификата и права на изменение настроек в 1С.

Если ключ используется для ЭДО, заранее проверьте, зарегистрирован ли новый сертификат у оператора ЭДО и в сервисе 1С-ЭДО (или 1С-Отчётность, если подпись применяется для сдачи отчётности). Незарегистрированный сертификат система отклонит при отправке документов. Уточните у вашего удостоверяющего центра или оператора, нужно ли дополнительно привязывать сертификат к учётной записи.

Установка нового сертификата в Windows и криптопровайдер

Сначала установите сертификат с привязкой к закрытому ключу. Если ключ на токене (Рутокен, eToken, JaCarta), вставьте носитель, откройте панель управления криптопровайдера и убедитесь, что контейнер виден. В КриптоПро CSP это делается на вкладке «Сервис» → «Просмотреть сертификаты в контейнере». Оттуда же сертификат устанавливается в личное хранилище пользователя с автоматической привязкой к контейнеру.

Если сертификат получен в виде файла .cer без закрытого ключа, его нужно установить именно через механизм криптопровайдера, а не просто двойным щелчком — иначе привязка к закрытому ключу может не создаться. Проверить привязку можно в оснастке сертификатов (certmgr.msc): у корректно установленного сертификата в свойствах указано «Есть закрытый ключ для этого сертификата».

Не забудьте установить цепочку: корневой сертификат удостоверяющего центра в хранилище «Доверенные корневые центры сертификации» и промежуточные сертификаты при их наличии. Без корректной цепочки Windows будет считать сертификат недействительным, и 1С откажется его использовать.

1. 1
   Вставьте токен или подготовьте контейнер с закрытым ключом
2. 2
   Откройте КриптоПро CSP → Сервис → Просмотреть сертификаты в контейнере
3. 3
   Установите сертификат в личное хранилище
4. 4
   Установите корневой сертификат УЦ в доверенные корневые центры
5. 5
   Проверьте в certmgr.msc наличие надписи о закрытом ключе

Замена сертификата в настройках 1С

В типовых конфигурациях настройки электронной подписи находятся в разделе «Администрирование» → «Обмен электронными документами» → «Обмен по электронной почте и ЭДО» либо «Администрирование» → «Электронная подпись и шифрование» — точное расположение зависит от конфигурации и версии БСП. Откройте список сертификатов и добавьте новый: программа покажет сертификаты из личного хранилища, у которых есть закрытый ключ.

После добавления сертификата настройте его назначение: укажите, для каких операций он используется — подписание документов, ЭДО, отчётность. Если в конфигурации сертификат привязан к организации или к конкретному пользователю, обновите эту привязку. В некоторых конфигурациях нужно явно заменить старый сертификат в карточке организации или в настройках учётной записи ЭДО, иначе программа продолжит пытаться подписывать прежним ключом.

Замена ключа в настройках ЭДО

Если используется обмен электронными документами, откройте настройки обмена с контрагентами (учётную запись ЭДО) и проверьте, какой сертификат указан для подписания. Замените его на новый. Для сервиса 1С-ЭДО новый сертификат должен быть зарегистрирован в сервисе — регистрация обычно выполняется из формы настроек ЭДО или через личный кабинет сервиса. Без регистрации отправка подписанных документов завершится ошибкой на стороне оператора.

Замена ключа для 1С-Отчётности

Для сдачи регламентированной отчётности сертификат меняется в настройках обмена с контролирующими органами. Как правило, смена ключа для отчётности выполняется через заявление на перевыпуск или замену в операторе связи — просто подставить новый сертификат в настройки недостаточно, его нужно привязать к абоненту. Порядок зависит от оператора, поэтому сверьтесь с инструкцией вашего провайдера отчётности.

Проверка результата

После замены выполните тестовое подписание: создайте черновик документа и подпишите его новым сертификатом. В типовых конфигурациях есть команда проверки сертификата — она выполняет тестовое подписание и проверку подписи и сразу показывает ошибки криптопровайдера. Убедитесь, что в свойствах подписи отображаются данные нового сертификата: владелец, срок действия, издатель.

Для ЭДО отправьте тестовый документ контрагенту или используйте проверку связи с оператором. Если документ ушёл и получен корректно, замена завершена. Только после этого можно отозвать старый сертификат (если причина замены — компрометация) или оставить его в хранилище для проверки старых подписей.

Контрольные точки

Как проверить результат

Сертификат в certmgr.msc

Норма

Есть отметка о наличии закрытого ключа

Тревожный признак

Закрытый ключ отсутствует — переустановите через криптопровайдер

Тестовое подписание в 1С

Норма

Подпись создана, видны данные нового сертификата

Тревожный признак

Ошибка криптопровайдера или подпись старым ключом

Отправка по ЭДО

Норма

Документ принят оператором

Тревожный признак

Ошибка регистрации сертификата у оператора

Типичные ошибки и их решение

Самая распространённая ошибка — «Не найден закрытый ключ» или «Сертификат не имеет связи с закрытым ключом». Причина — сертификат установлен двойным щелчком без привязки к контейнеру. Лечится переустановкой через панель криптопровайдера. Вторая частая проблема — 1С видит только старый сертификат: проверьте, в хранилище какого пользователя установлен новый, и под каким пользователем работает сеанс или сервер 1С.

Ошибка «цепочка сертификатов не проверена» указывает на отсутствие корневого сертификата УЦ. Ошибка лицензии криптопровайдера возникает при истёкшей или неактивированной лицензии — проверьте её в панели управления КриптоПро или ViPNet. Если подписание выполняется на сервере 1С, ключ и криптопровайдер должны быть установлены именно на сервере, а не на клиентском компьютере.

Частые вопросы

Можно ли использовать два сертификата ЭЦП одновременно в 1С?

Да. В настройках программы можно добавить несколько сертификатов и назначить каждому свои операции или организации. Это удобно в переходный период, когда старый ключ ещё действует, а новый уже выпущен.

Нужно ли перевыпускать договоры с контрагентами при смене ключа?

Сами договоры ЭДО перевыпускать не нужно, но контрагенты автоматически получат новый сертификат при обмене через оператора. Для прямого обмена без оператора новый сертификат нужно передать контрагенту и обновить в его доверенных сертификатах.

1С не видит новый сертификат, хотя в Windows он есть. Что делать?

Проверьте три вещи: установлен ли сертификат в хранилище именно того пользователя, под которым работает сеанс 1С; есть ли у сертификата привязка к закрытому ключу; совместим ли криптопровайдер с используемой версией платформы. После установки сертификата перезапустите сеанс 1С.

Сохранятся ли документы, подписанные старым ключом?

Да. Подписи остаются в базе вместе с сертификатом, которым они созданы. Даже после удаления старого контейнера проверка старых подписей возможна, если сохранился сам открытый сертификат и актуальный список отзыва на момент проверки.

Что делать, если ключ скомпрометирован?

Немедленно обратитесь в удостоверяющий центр для отзыва сертификата, затем выпустите новый. Документы, подписанные до момента отзыва, как правило, сохраняют юридическую силу, но по вопросам спорных подписей консультируйтесь с юристом и УЦ.