Администрирование · 10 мин
Как выгрузить ключ ЭЦП из 1С
Как выгрузить ключ электронной подписи из 1С: экспорт сертификата и закрытого ключа, настройки, ограничения КриптоПро, типичные ошибки и проверка результата.
Выгрузка ключа электронной подписи из 1С требуется при переезде на новый компьютер, настройке обмена с контрагентами на другом рабочем месте, передаче подписи сотруднику-правопреемнику или резервном копировании. Важно понимать: сама 1С не хранит ключи внутри базы — она обращается к сертификатам, установленным в хранилище операционной системы или в криптопровайдере (КриптоПро CSP, ViPNet CSP). Поэтому «выгрузить ключ из 1С» на практике означает найти нужный сертификат в программе и экспортировать его средствами ОС или криптопровайдера.
Прежде чем начинать, определите, что именно нужно выгрузить. Открытая часть — сертификат открытого ключа — экспортируется свободно и безопасна: её можно передавать контрагентам и загружать в сервисы. Закрытый (личный) ключ — это секретная часть, компрометация которой позволяет подписывать документы от вашего имени. Закрытый ключ может быть вообще неэкспортируемым, если при выпуске сертификата был установлен соответствующий флаг — такие ключи выгрузить нельзя в принципе, и это ограничение не обходится штатными средствами.
Ниже разобраны все рабочие сценарии: как найти сертификат через 1С, как экспортировать открытый сертификат, как скопировать закрытый ключ через КриптоПро и что делать, если экспорт невозможен.
Где 1С хранит ключи ЭЦП и почему это важно
Конфигурации 1С (Бухгалтерия, Управление торговлей, ЗУП, Документооборот) работают с подписью через подсистему «Электронная подпись» библиотеки стандартных подсистем. Программа лишь отображает список сертификатов, которые видны ей из хранилища Windows («Личные») или из криптопровайдера. Удаление базы 1С не удаляет ключи, и наоборот — переустановка 1С не переносит подписи на новое место.
Физически закрытый ключ может находиться в трёх местах: в реестре Windows (контейнер КриптоПро), на съёмном носителе (флешка, папка с файлами вида header.key, masks.key и др.) или на защищённом токене (Рутокен, eToken, JaCarta). От места хранения зависит способ выгрузки: из реестра ключ копируется штатно, с токена — только если политика токена и флаг экспортируемости это разрешают.
Как найти нужный сертификат через 1С
Сначала убедитесь, что 1С видит нужный сертификат, и уточните его реквизиты — они понадобятся при экспорте. В типовых конфигурациях путь такой: «Администрирование» → «Обмен электронными документами» → «Сертификаты ключей электронной подписи и шифрования» (в некоторых версиях — «Настройки электронной подписи и шифрования»).
Откройте сертификат двойным щелчком. Здесь видны владелец, издатель, срок действия, отпечаток и назначение. Поле «Закрытый ключ» показывает, связан ли сертификат с контейнером на данном компьютере. Если связи нет — подписывать документы с этого рабочего места не получится, даже если сертификат в списке присутствует.
Если сертификата в списке нет, проверьте, установлен ли он в хранилище текущего пользователя Windows, и при необходимости добавьте его через кнопку «Добавить» → «Из установленных на компьютере».
Можно экспортировать и сертификат, и при разрешении — закрытый ключ
Ищите контейнер на старом ПК, флешке или токене
Потребуется выпуск нового сертификата в удостоверяющем центре
Выгрузка открытого сертификата из 1С
Открытый сертификат нужен контрагентам для проверки вашей подписи, для настройки обмена ЭДО и для регистрации в сервисах. Его выгрузка безопасна и не требует особых разрешений.
В типовой 1С откройте список сертификатов, выделите нужный и воспользуйтесь командой «Сохранить в файл» (в ряде конфигураций она доступна из карточки сертификата). Укажите папку — файл сохранится в формате .cer. Этот файл можно пересылать по почте и загружать в операторов ЭДО.
Альтернативный способ — через Windows: нажмите Win+R, введите certmgr.msc, откройте «Личные» → «Сертификаты», найдите сертификат по ФИО владельца, щёлкните правой кнопкой → «Все задачи» → «Экспорт». На шаге выбора укажите «Нет, не экспортировать закрытый ключ» и формат DER X.509 (.cer).
- 1Откройте certmgr.msc через Win+R
- 2Перейдите в «Личные» → «Сертификаты» и найдите сертификат по владельцу
- 3Правой кнопкой: «Все задачи» → «Экспорт»
- 4Выберите «Не экспортировать закрытый ключ», формат DER X.509
- 5Укажите путь и имя файла .cer, завершите мастер
- 6Откройте полученный файл и сверьте отпечаток с данными в 1С
Выгрузка закрытого ключа через КриптоПро CSP
Если нужно перенести саму возможность подписания, экспортируется контейнер закрытого ключа. В среде КриптоПро это делается через панель криптопровайдера, а не через 1С. Учтите: операция требует прав администратора и пароля (пин-кода) контейнера, если он был задан.
Откройте «Пуск» → «КриптоПро CSP» → вкладка «Сервис» → кнопка «Скопировать». Нажмите «Обзор», выберите нужный контейнер (его имя можно сверить с серийным номером сертификата через кнопку «Просмотреть сертификат»). Затем укажите носитель-приёмник: флешку или папку реестра. После копирования задайте новый пароль контейнера.
Второй вариант — экспорт сертификата вместе с закрытым ключом в файл .pfx через certmgr.msc: на шаге мастера выберите «Да, экспортировать закрытый ключ». Если пункт неактивен — ключ неэкспортируемый. PFX-файл защищается паролем и удобен для переноса, однако для работы с российской криптографией (ГОСТ) на целевом компьютере всё равно потребуется установленный КриптоПро CSP.
Если ключ неэкспортируемый или хранится на токене
Признак неэкспортируемого ключа: в мастере экспорта Windows пункт «Да, экспортировать закрытый ключ» недоступен, а КриптоПро при копировании выдаёт ошибку. Это осознанная политика безопасности — такие ключи часто выпускают для руководителей и для квалифицированных подписей с повышенными требованиями. Обходных штатных способов нет: единственный законный путь — выпустить новый сертификат и при генерации указать, что ключ должен быть экспортируемым.
С токенами (Рутокен ЭЦП, JaCarta ГОСТ) ситуация похожая: большинство моделей спроектировано так, чтобы закрытый ключ не покидал устройство. Копирование контейнера средствами КриптоПро с такого носителя завершится ошибкой. Перенос в этом случае — это физическая передача самого токена и установка драйверов на новом компьютере.
Как выбрать действие
Установка выгруженного ключа на новом компьютере
На целевом компьютере заранее установите криптопровайдер той же линейки (КриптоПро CSP совместимой версии) и средства ЭДО, если они используются. Скопируйте папку контейнера с флешки или подключите носитель, затем через КриптоПро CSP («Сервис» → «Установить личный сертификат») привяжите сертификат к контейнеру — программа предложит выбрать контейнер и установит сертификат в хранилище «Личные».
После установки откройте 1С, перейдите в список сертификатов и убедитесь, что сертификат появился и у него есть связь с закрытым ключом. Финальная проверка — подписание тестового документа или использование кнопки «Проверить» в карточке сертификата: программа выполнит пробное подписание и расшифровку.
Как проверить результат
Виден в списке, данные владельца корректны
Сертификата нет — он не установлен в хранилище «Личные»
В карточке указано, что закрытый ключ доступен
Надпись об отсутствии закрытого ключа — контейнер не привязан
Документ подписывается без ошибок
Ошибка доступа к контейнеру — проверьте пароль и права
Типичные ошибки и ограничения
Чаще всего проблемы возникают не из-за самой выгрузки, а из-за нарушения связки «сертификат — контейнер — криптопровайдер». Характерная ошибка — перенос только файла .cer на новый компьютер: сертификат виден, но подписать ничего нельзя, потому что закрытый ключ остался на старом месте.
Вторая группа проблем — лицензии и версии. Если на новом компьютере нет действующей лицензии КриптоПро CSP или установлена устаревшая версия, контейнер может не читаться. Также проверяйте разрядность и срок действия самого сертификата: просроченный сертификат переносить бессмысленно.
FAQ
Можно ли выгрузить ключ ЭЦП прямо из базы 1С?
Нет. 1С не хранит ключи внутри базы, а обращается к хранилищу Windows и криптопровайдеру. Поэтому экспорт выполняется средствами ОС (certmgr.msc) или КриптоПро CSP, а 1С используется только для просмотра реквизитов сертификата.
Чем файл .cer отличается от .pfx?
Файл .cer содержит только открытую часть — сертификат, его можно свободно передавать. Файл .pfx (или .p12) дополнительно включает закрытый ключ и защищается паролем — его утечка равнозначна передаче вашей подписи третьим лицам.
Почему КриптоПро не даёт скопировать контейнер?
Наиболее вероятные причины: ключ выпущен как неэкспортируемый, контейнер находится на токене с запретом извлечения, либо у текущего пользователя недостаточно прав. Проверьте свойства контейнера и при необходимости запустите операцию от имени администратора.
Что делать, если старый компьютер сломан, а копии ключа нет?
Если жёсткий диск доступен, специалист может извлечь контейнер из реестра или папки носителя. Если данные утрачены полностью, восстановить ключ невозможно — обратитесь в удостоверяющий центр для отзыва старого сертификата и выпуска нового.
Нужно ли заново настраивать ЭДО после переноса ключа?
Обычно нет: настройки обмена хранятся в базе 1С и привязаны к отпечатку сертификата. Если перенесён тот же сертификат в пределах срока действия, достаточно, чтобы 1С увидела его на новом рабочем месте. При выпуске нового сертификата потребуется обновить настройки соглашений с контрагентами и в личном кабинете оператора ЭДО.
Что важно запомнить
1С хранит не ключи, а ссылки на сертификаты. Открытый сертификат выгружается в .cer свободно, закрытый ключ копируется через КриптоПро CSP только при разрешённом экспорте. Неэкспортируемый ключ и ключ на токене переносятся вместе с носителем или перевыпускаются. После переноса всегда проверяйте пробным подписанием.