Как поменять сертификат ЭЦП в 1С

Замена сертификата электронной подписи в 1С требуется, когда истекает срок действия ключа, меняется руководитель организации, удостоверяющий центр перевыпускает сертификат или скомпрометирован закрытый ключ. Пока новый сертификат не установлен и не привязан в программе, подписание документов и отправка отчетности в ФНС, ПФР и ФСС будут невозможны.

Процедура состоит из трех этапов: установка сертификата в операционную систему (или подключение токена), привязка его в настройках 1С и проверка работоспособности — тестовое подписание и отправка. Пропуск любого этапа приводит к типичной ситуации: сертификат «вроде установлен», но 1С его не видит или отчетность уходит со старой подписью.

Ниже разобран порядок действий для типовых конфигураций — 1С:Бухгалтерия 8, 1С:ЗУП и других решений на платформе 8.3, где обмен с контролирующими органами ведется через встроенный сервис 1С-Отчетность или через внешние программы криптографии.

Что подготовить перед заменой сертификата

Перед началом работ убедитесь, что новый сертификат фактически получен: удостоверяющий центр выдал файл сертификата (обычно с расширением .cer) или записал ключевую пару на токен (Рутокен, eToken, JaCarta). Если сертификат только заказан, но не выпущен, менять настройки в 1С рано — программа просто не найдет ключ.

Проверьте, что на компьютере установлена актуальная версия криптопровайдера — КриптоПро CSP или ViPNet CSP, и что действует его лицензия. Без лицензии криптопровайдер работает в демо-режиме ограниченное время, после чего подписание станет невозможным даже с корректным сертификатом.

Уточните, кто выполняет замену: пользователю нужны права на установку сертификатов в системе и права на изменение настроек обмена в 1С. В серверных и терминальных конфигурациях сертификат устанавливается на том компьютере, где фактически выполняется подписание, — это может быть сервер 1С, а не рабочее место бухгалтера.

Установка нового сертификата в операционную систему

Если ключевая пара записана на токен, вставьте носитель в USB-порт и дождитесь его определения системой. Откройте КриптоПро CSP, перейдите на вкладку «Сервис» и выберите «Просмотреть сертификаты в контейнере». Укажите контейнер на токене — программа покажет привязанный сертификат. Затем нажмите «Установить личный сертификат», чтобы он появился в хранилище «Личные» текущего пользователя.

Если сертификат получен в виде файла, а закрытый ключ хранится в реестре или на диске, порядок иной: откройте файл .cer двойным щелчком, выберите «Установить сертификат», поместите его в хранилище «Личные», а затем через КриптоПро CSP выполните привязку к контейнеру закрытого ключа («Установить личный сертификат» с указанием контейнера). Без привязки к закрытому ключу сертификат будет виден в системе, но подписывать документы не сможет.

Как проверить, что сертификат установлен правильно

Откройте оснастку «Сертификаты» (команда certmgr.msc) и найдите новый сертификат в разделе «Личные — Сертификаты». Откройте его: на вкладке «Общие» должна быть строка «Есть закрытый ключ для этого сертификата». Если этой строки нет — сертификат установлен без привязки к закрытому ключу, и 1С не сможет им подписывать.

Контрольные точки

Как проверить результат

Наличие закрытого ключа

Норма

В свойствах сертификата указано «Есть закрытый ключ для этого сертификата»

Тревожный признак

Строки о закрытом ключе нет — сертификат не привязан к контейнеру

Срок действия

Норма

Дата окончания действия в будущем, цепочка сертификатов без ошибок

Тревожный признак

Сертификат просрочен или отмечен красным крестом

Видимость токена

Норма

КриптоПро CSP видит контейнер на носителе и открывает его по PIN-коду

Тревожный признак

Носитель не определяется или PIN-код не принимается

Замена сертификата в настройках 1С-Отчетности

В типовых конфигурациях откройте раздел «Отчетность, справки» — «1С-Отчетность» и перейдите в «Настройки обмена с контролирующими органами». В карточке организации найдите блок, где указан сертификат абонента, — там отображается старый сертификат, который нужно заменить.

Нажмите на поле с сертификатом и выберите из списка новый сертификат. Список формируется из хранилища «Личные» того компьютера, где выполняется настройка, поэтому новый сертификат должен быть установлен заранее. Если сертификата в списке нет — вернитесь к проверке установки в системе.

После выбора нового сертификата сохраните настройки. В ряде случаев 1С предложит автоматически отправить в контролирующие органы уведомление о смене сертификата — это важный шаг: ФНС должна знать отпечаток нового сертификата, иначе подписанная им отчетность будет отклоняться.

1. 1
   Установите новый сертификат в хранилище «Личные» через КриптоПро CSP
2. 2
   Откройте 1С-Отчетность и перейдите в настройки обмена с контролирующими органами
3. 3
   В карточке организации выберите новый сертификат вместо старого
4. 4
   Сохраните настройки и дождитесь регистрации сертификата в ФНС
5. 5
   Выполните тестовое подписание документа
6. 6
   Отправьте пробный отчет или запрос и проверьте квитанцию о приеме

Если сертификат используется для подписания документов внутри 1С

Для электронного документооборота с контрагентами (ЭДО) сертификат меняется в другом месте: «Администрирование» — «Обмен электронными документами» — «Настройки ЭДО». В профиле участника обмена замените сертификат подписанта. Учтите, что оператор ЭДО также должен зарегистрировать новый сертификат — часто это делается через личный кабинет оператора или автоматически при первой отправке.

Особенности для разных способов подключения

Если отчетность отправляется не через 1С-Отчетность, а через внешнюю программу (например, «СБиС» или «Контур.Экстерн»), сертификат меняется в настройках той программы, а в 1С менять ничего не нужно — 1С в этом случае только выгружает файлы отчетов. Уточните заранее, какой способ обмена используется в организации, чтобы не искать настройки не там.

В клиент-серверных конфигурациях, где подписание выполняется на сервере 1С, сертификат и криптопровайдер устанавливаются на сервер, а хранилище используется для учетной записи, под которой работает служба агента сервера. Это частая причина ошибки «сертификат не найден»: бухгалтер установил сертификат у себя, а подписание выполняет сервер, где сертификата нет.

Сравнение вариантов

Подписание на рабочем месте пользователя

Сертификат и криптопровайдер ставятся на компьютер бухгалтера. Подходит для файловых баз и небольшого числа пользователей ЭДО.

Подписание на сервере 1С

Сертификат устанавливается на сервер под учетной записью службы. Подходит для клиент-серверных баз, но требует доступа администратора к серверу.

Облачная подпись (1С:DSS и аналоги)

Закрытый ключ хранится у провайдера, токен не нужен. При смене сертификата достаточно обновить его в настройках облачного сервиса и в 1С.

Проверка работы после замены

Не ограничивайтесь тем, что настройки сохранены. Откройте любой черновик отчета и выполните «Проверить» — «Проверить подписание» (или аналогичную команду тестирования в вашей конфигурации). Программа должна успешно подписать тестовый пакет новым сертификатом.

Затем отправьте реальный отчет или запрос (например, запрос на сверку с ФНС) и дождитесь квитанции о приеме. Только положительная квитанция подтверждает, что новый сертификат зарегистрирован в контролирующем органе и работает корректно. Если приходит отказ с формулировкой вроде «сертификат не зарегистрирован» — дождитесь завершения регистрации сертификата в ФНС, это может занять некоторое время.

Что делать со старым сертификатом

Старый сертификат оставьте в системе как минимум до окончания кампании по сдаче отчетности и получения всех квитанций по ранее отправленным документам. Подписанные старым сертификатом документы остаются юридически значимыми, если на момент подписания сертификат действовал, но для проверки таких подписей программе может понадобиться сам сертификат в хранилище.

Если замена вызвана компрометацией ключа (утерян токен, есть подозрение на доступ посторонних), действуйте иначе: немедленно отзовите сертификат через удостоверяющий центр, затем установите новый. В этом случае хранить старый ключ не нужно — наоборот, контейнер следует удалить после отзыва.

Частые вопросы

1С не видит новый сертификат в списке, хотя он установлен. Что делать?

Проверьте, что сертификат установлен в хранилище «Личные» именно того пользователя, под которым запущена 1С, и что в его свойствах есть строка о наличии закрытого ключа. Если база клиент-серверная и подписание выполняется на сервере, сертификат должен быть установлен на сервере. После установки перезапустите 1С — список сертификатов считывается при обращении к криптопровайдеру.

Нужно ли заново подключать 1С-Отчетность после смены сертификата?

Обычно нет: достаточно выбрать новый сертификат в настройках обмена и дождаться его регистрации в контролирующих органах. Полное переподключение требуется только при смене оператора связи или при существенном изменении реквизитов организации.

Можно ли заменить сертификат, если старый уже истек?

Да, порядок тот же: установите новый сертификат и выберите его в настройках. Истекший сертификат не мешает замене, но подписать или отправить что-либо до установки нового не получится — учитывайте это при приближении сроков сдачи отчетности.

Отчетность отклоняется с ошибкой о незарегистрированном сертификате. В чем причина?

Новый сертификат еще не зарегистрирован в ФНС или регистрация завершилась с ошибкой. Проверьте в настройках обмена статус регистрации сертификата, при необходимости инициируйте отправку сведений о сертификате повторно и дождитесь подтверждения. До получения подтверждения отправленные отчеты будут отклоняться.

Нужно ли менять сертификат в настройках ЭДО отдельно?

Да. Сертификаты для 1С-Отчетности и для обмена электронными документами с контрагентами настраиваются независимо. Замените сертификат в профиле ЭДО и убедитесь, что оператор ЭДО зарегистрировал новый сертификат, иначе исходящие документы будут подписываться старым ключом или отклоняться.

Токен с новым сертификатом не определяется системой. С чего начать?

Проверьте, установлены ли драйверы носителя (для Рутокен, eToken, JaCarta они разные), попробуйте другой USB-порт и другой компьютер. Откройте панель управления носителя и проверьте, виден ли контейнер и принимается ли PIN-код. Если носитель не определяется нигде — обратитесь в удостоверяющий центр, выдавший токен.