Администрирование · 11 мин
Как вытащить сертификат из 1С: подробная инструкция
Как вытащить сертификат из 1С: экспорт из программы, из хранилища Windows и через КриптоПро, сохранение закрытого ключа, проверка результата и частые ошибки.
Сертификат электронной подписи в 1С используется для обмена документами с контрагентами, сдачи отчётности и подписания файлов. Периодически его нужно извлечь: для переноса на другой компьютер, резервной копии перед перевыпуском, передачи новому сотруднику или проверки срока действия. Способ выгрузки зависит от того, где хранится сертификат — в самой базе 1С, в системном хранилище Windows или на токене.
Важно различать две задачи. Первая — выгрузить открытую часть сертификата (файл с расширением .cer), которая не содержит секретных данных и свободно передаётся контрагентам. Вторая — экспортировать сертификат вместе с закрытым ключом (файл .pfx), что даёт возможность подписывать документы на другом рабочем месте. Вторая операция критична с точки зрения безопасности и доступна не всегда.
Ниже разобраны все рабочие способы: через интерфейс 1С, через оснастку Windows, через КриптоПро CSP и с копированием контейнера закрытого ключа. Для каждого указаны условия применения и ограничения.
Где вообще лежит сертификат: определяем место хранения
Перед экспортом нужно понять, где физически находится сертификат и его закрытый ключ. От этого зависит, какой инструмент подойдёт и получится ли выгрузить ключ вообще.
Возможны четыре варианта. Первый — сертификат добавлен непосредственно в базу 1С (типично для облачных сертификатов 1С:Подпись и сертификатов, загруженных файлом). Второй — сертификат установлен в личное хранилище Windows текущего пользователя, а 1С лишь ссылается на него. Третий — ключ находится на защищённом носителе (Рутокен, eToken, JaCarta), и извлечь его штатными средствами нельзя. Четвёртый — сертификат облачный, ключ хранится у оператора (DSS, 1С:Подпись), и выгрузка закрытого ключа невозможна по определению.
Откройте карточку сертификата в 1С и посмотрите поле способа подписания
Запустите certmgr.msc и проверьте раздел «Личное → Сертификаты»
Закрытый ключ на Рутокен/eToken, экспорт возможен только копированием контейнера
Ключ у оператора, выгрузить закрытую часть нельзя
Экспорт открытой части сертификата из 1С
Самый простой сценарий — сохранить файл .cer без закрытого ключа. Такой файл нужен контрагентам для проверки вашей подписи, для настройки обмена ЭДО или загрузки в другие программы.
В типовых конфигурациях (1С:Бухгалтерия, УТ, ERP, Комплексная автоматизация) путь примерно одинаковый. Откройте раздел «Администрирование», далее «Обмен электронными документами» (в некоторых конфигурациях — «Электронные подписи» или «Настройки электронной подписи»). В списке сертификатов найдите нужный, откройте его карточку и нажмите «Сохранить в файл» или используйте команду экспорта в форме сертификата. Укажите папку — получите файл .cer.
Если сертификат используется для отчётности через 1С-Отчётность, откройте «Настройки обмена с контролирующими органами», найдите сертификат в списке и воспользуйтесь командой сохранения. В ряде конфигураций кнопка называется «Экспорт» или «Сохранить сертификат в файл».
- 1Откройте Администрирование → Обмен электронными документами → Список сертификатов
- 2Откройте карточку нужного сертификата двойным щелчком
- 3Нажмите «Сохранить в файл» (или «Экспорт»)
- 4Выберите папку и сохраните файл с расширением .cer
- 5Проверьте: файл открывается двойным щелчком и показывает владельца и срок действия
Экспорт сертификата с закрытым ключом через Windows
Если сертификат установлен в системном хранилище, полноценную выгрузку вместе с закрытым ключом делают через оснастку «Сертификаты». Нажмите Win+R, введите certmgr.msc и откройте раздел «Личное → Сертификаты». Найдите нужный сертификат по владельцу и сроку действия.
Щёлкните по нему правой кнопкой, выберите «Все задачи → Экспорт». В мастере укажите «Да, экспортировать закрытый ключ», формат — PKCS #12 (.PFX), при необходимости включите все сертификаты в путь сертификации. Задайте надёжный пароль — им будет защищён файл. Сохраните .pfx в надёжное место.
Ключевое ограничение: пункт «Да, экспортировать закрытый ключ» активен только если при выпуске сертификата ключ был создан как экспортируемый. Многие удостоверяющие центры выпускают неэкспортируемые ключи намеренно — это требование безопасности. Если пункт недоступен, штатно выгрузить ключ нельзя, и остаются варианты: копирование контейнера через КриптоПро (если ключ на компьютере) или перевыпуск сертификата.
Копирование контейнера закрытого ключа через КриптоПро
Когда ключ неэкспортируемый, но находится на компьютере или на съёмном носителе, помогает копирование контейнера средствами КриптоПро CSP. Это не экспорт в файл, а перенос контейнера на другой носитель — флешку или токен.
Откройте КриптоПро CSP, вкладка «Сервис», кнопка «Скопировать». Нажмите «Обзор», выберите исходный контейнер (он отобразится по имени и носителю), затем укажите целевой носитель — например, вставленную флешку или Рутокен. Задайте имя нового контейнера и при необходимости пароль. После копирования установите сертификат в хранилище с привязкой к новому контейнеру: КриптоПро CSP → «Сервис» → «Установить личный сертификат».
Учтите: если контейнер изначально записан на неизвлекаемый токен (Рутокен ЭЦП с неэкспортируемым ключом), кнопка копирования для него будет недоступна — это аппаратное ограничение, обойти которое нельзя. В таком случае единственный путь — перевыпуск сертификата в удостоверяющем центре.
Установка выгруженного сертификата на новом месте
После экспорта логично сразу проверить перенос. Файл .pfx устанавливается двойным щелчком: запустится мастер импорта, введите пароль, выберите хранилище «Личное» (обычно подходит вариант «автоматически»). После установки откройте сертификат и убедитесь, что внизу окна есть строка «Есть закрытый ключ для этого сертификата» — без неё подписывать документы не получится.
Затем проверьте цепочку: на вкладке «Путь сертификации» не должно быть ошибок. Если корневой сертификат удостоверяющего центра отсутствует, установите его с сайта вашего УЦ в хранилище «Доверенные корневые центры сертификации». Наконец, откройте 1С, перейдите в настройки электронной подписи, добавьте сертификат из хранилища и выполните тестовое подписание.
Как проверить результат переноса
В окне сертификата есть строка «Есть закрытый ключ»
Строки нет — импортирована только открытая часть
Путь сертификации без ошибок, статус «Сертификат действителен»
Жёлтый восклицательный знак, ошибка доверия корневому УЦ
Сертификат выбирается в настройках, тестовое подписание проходит
1С не видит сертификат или выдаёт ошибку при подписании
Частые ошибки и ограничения
Наиболее частая проблема — попытка экспортировать закрытый ключ, помеченный как неэкспортируемый. Никакие штатные средства Windows это не обойдут, и программы, обещающие извлечь такой ключ, либо не работают с современными защищёнными носителями, либо нарушают условия использования сертификата и создают риск компрометации.
Вторая типичная ситуация: сертификат установлен, но 1С его не видит. Причины — сертификат установлен в хранилище компьютера, а 1С смотрит в хранилище пользователя; не установлен или устарел криптопровайдер (КриптоПро CSP, ViPNet CSP); истёк срок действия лицензии криптопровайдера. Проверяйте эти три пункта в первую очередь.
Третья ошибка — передача файла .pfx вместе с паролем одним письмом. Это сводит на нет всю защиту: перехвативший письмо получает полный контроль над подписью. Файл и пароль всегда передают разными каналами.
Что выбрать в вашей ситуации
Подведём итог по выбору способа. Если нужен только файл для контрагента или настройки ЭДО — достаточно экспорта .cer из 1С, это занимает минуту и не требует прав администратора. Для полноценного переноса подписи на другой компьютер используйте экспорт .pfx через certmgr.msc, если ключ экспортируемый. Если ключ неэкспортируемый, но лежит на компьютере или флешке — копируйте контейнер через КриптоПро. Если ключ на неизвлекаемом токене или облачный — выгрузка невозможна, переносите сам носитель или подключайте облачный сертификат заново.
Как выбрать способ
Что важно запомнить
Открытая часть сертификата выгружается из 1С в пару кликов. Закрытый ключ — только если он экспортируемый, через Windows или копированием контейнера КриптоПро. Файл .pfx храните как пароль от банка, а облачные и неизвлекаемые ключи выгрузить нельзя в принципе.
Частые вопросы
Можно ли выгрузить сертификат из 1С, если он хранится на Рутокене?
Открытую часть — да: сертификат виден в хранилище Windows, и его можно экспортировать в .cer. Закрытый ключ на большинстве Рутокенов ЭЦП неизвлекаемый — это аппаратная защита. Перенос выполняется физически: токен вставляется в другой компьютер, на который ставятся драйверы и криптопровайдер.
Чем отличается файл .cer от .pfx?
Файл .cer содержит только открытую часть сертификата: владельца, срок действия, открытый ключ. Он нужен для проверки подписи и свободно передаётся. Файл .pfx дополнительно содержит закрытый ключ и позволяет подписывать документы, поэтому защищается паролем и требует строгого контроля доступа.
Почему в мастере экспорта неактивен пункт «Экспортировать закрытый ключ»?
Значит, при выпуске сертификата закрытый ключ был создан с запретом экспорта — так делают многие удостоверяющие центры. Обойти ограничение штатными средствами нельзя. Варианты: скопировать контейнер через КриптоПро (если ключ на компьютере или копируемом носителе) или перевыпустить сертификат.
1С не видит установленный сертификат. Что проверить?
Проверьте, что сертификат установлен в хранилище «Личное» именно текущего пользователя, что установлен и лицензирован криптопровайдер (КриптоПро CSP или ViPNet CSP), что срок действия сертификата не истёк и что в карточке сертификата есть отметка о наличии закрытого ключа. После установки перезапустите 1С.
Безопасно ли отправлять сертификат контрагенту по почте?
Файл .cer отправлять безопасно — он не содержит секретных данных и предназначен для публичного распространения. Категорически нельзя отправлять файл .pfx с закрытым ключом, а тем более вместе с паролем: это равносильно передаче права подписывать документы от вашего имени.
Как перенести облачный сертификат 1С:Подпись на другой компьютер?
Выгружать ничего не нужно: закрытый ключ хранится у оператора сервиса. На новом рабочем месте установите необходимые компоненты сервиса, войдите под той же учётной записью и подключите сертификат в настройках электронной подписи 1С.