Как заменить сертификат ЭЦП в 1С

Сертификат электронной подписи имеет ограниченный срок действия — обычно один год или 15 месяцев, после чего его нужно заменить. Замена затрагивает два уровня: операционную систему с криптопровайдером (КриптоПро CSP, ViPNet CSP) и настройки программы 1С. Если обновить сертификат только в системе, но не указать его в 1С, программа продолжит пытаться подписывать документы старым сертификатом и выдаст ошибку.

Замена требуется не только при истечении срока действия. Новый сертификат выпускают при смене фамилии владельца, смене должности или организации, компрометации закрытого ключа, а также при переходе на новые требования к формату ключей. Во всех этих случаях порядок действий в 1С одинаков, отличается только работа с удостоверяющим центром.

Важно понимать: сама 1С не хранит закрытые ключи и не устанавливает сертификаты в систему. Программа лишь обращается к криптопровайдеру через стандартные интерфейсы операционной системы. Поэтому половина работы выполняется вне 1С — в КриптоПро или ViPNet, а в программе остаётся только выбрать уже установленный сертификат и проверить его работу.

Что подготовить перед заменой сертификата

До начала работ убедитесь, что у вас есть всё необходимое. Во-первых, новый сертификат должен быть получен в удостоверяющем центре: либо выдан на физическом носителе (токене Rutoken, eToken, JaCarta), либо сохранён в виде файлов закрытого ключа и сертификата. Во-вторых, на компьютере должны быть установлены криптопровайдер с действующей лицензией и драйверы токена, если ключ хранится на носителе.

Проверьте права доступа: установка сертификата в контейнер и изменение системных настроек обычно требуют прав администратора на компьютере. Также уточните, не используется ли сертификат одновременно в нескольких программах — например, в 1С, в клиенте банка и в системе сдачи отчётности. Замену придётся выполнить во всех программах, иначе часть из них перестанет подписывать документы.

Установка нового сертификата в криптопровайдер

Если ключ выдан на токене, вставьте носитель в USB-порт и дождитесь его определения системой. Откройте КриптоПро CSP, перейдите на вкладку «Сервис» и выберите «Просмотреть сертификаты в контейнере». Укажите контейнер на токене — программа покажет вложенный сертификат. Если сертификата в контейнере нет, установите его из файла через пункт «Установить личный сертификат».

При установке из файла важно, чтобы сертификат оказался привязан к закрытому ключу. В мастере установки КриптоПро включите поиск контейнера автоматически или укажите контейнер вручную. Признак правильной привязки: в свойствах сертификата внизу окна есть строка «Есть ссылка на закрытый ключ». Без этой ссылки 1С увидит сертификат, но подписать документ не сможет.

Дополнительно установите цепочку доверия: корневой сертификат удостоверяющего центра в хранилище «Доверенные корневые центры сертификации» и, при необходимости, промежуточный сертификат. Без корневого сертификата система будет считать вашу подпись недоверенной, и проверка в 1С завершится ошибкой даже при корректно установленном личном сертификате.

Где в 1С указывается сертификат

В типовых конфигурациях на БСП (1С: Бухгалтерия, ЗУП, Управление торговлей, ERP) настройки электронной подписи находятся в разделе «Администрирование → Обмен электронными документами» или «Администрирование → Обмен электронными документами → Электронные подписи». В более старых релизах путь может выглядеть как «Администрирование → Подпись и шифрование». Точное расположение зависит от версии конфигурации, но логика везде одинакова.

Откройте список сертификатов. Программа показывает сертификаты, которые видит через криптопровайдер, либо добавленные вручную из файла. Найдите в списке новый сертификат — ориентируйтесь по владельцу, сроку действия и отпечатку. Если нового сертификата в списке нет, нажмите «Добавить» и выберите вариант «Из установленных на компьютере» или укажите файл сертификата.

Замена сертификата в настройках подписи и ЭДО

Недостаточно добавить сертификат в общий список — его нужно указать в конкретных настройках. Откройте «Настройки электронной подписи» или профиль подписания и замените старый сертификат на новый для нужного пользователя. Если у пользователя было несколько сертификатов (например, отдельные для разных организаций), замените каждый по отдельности.

Для обмена электронными документами откройте «Учётные записи ЭДО» или «Соглашения об использовании ЭД» и в каждой действующей записи замените сертификат на новый. В некоторых операторах ЭДО (СБИС, Такском, Контур) новый сертификат дополнительно нужно зарегистрировать на стороне оператора — иначе роуминг и отправка документов будут отклонены. Обычно регистрация происходит автоматически при первом обмене, но при ошибках стоит обратиться в поддержку оператора.

Для сдачи отчётности через 1С-Отчётность сертификат меняется в настройках обмена с контролирующими органами. При смене сертификата ФНС и фонды должны узнать новый открытый ключ — если сертификат перевыпускался без изменения реквизитов, обычно достаточно автоматического обновления, но в ряде случаев потребуется отправить заявление на изменение подключения.

Типичные ошибки при замене сертификата

Самая частая проблема — сертификат установлен без привязки к закрытому ключу. Внешне всё выглядит корректно: сертификат виден в 1С, проверка доверия проходит, но при подписании возникает ошибка. Решение — переустановить личный сертификат через КриптоПро с указанием контейнера закрытого ключа.

Вторая группа ошибок связана с неполной заменой: сертификат поменяли в общем списке, но забыли обновить в учётной записи ЭДО, в настройках конкретной организации или в 1С-Отчётности. Программа при этом молча продолжает использовать старый сертификат, и ошибка всплывает только при реальной отправке. После замены пройдитесь по всем местам, где фигурировал старый сертификат.

Особые сценарии: серверный режим, облако, несколько организаций

В клиент-серверной архитектуре определите, где выполняется подписание. Если в настройках включено подписание на сервере, криптопровайдер, токен и сертификат должны быть развёрнуты на сервере 1С, а службе агента сервера нужен доступ к ключевому носителю. Это наиболее трудоёмкий сценарий, и его лучше выполнять с администратором сервера.

В облачных сервисах (например, 1С:Фреш) локальная установка сертификата не требуется вовсе: подписание выполняется либо облачным сертификатом сервиса, либо через компоненту на компьютере пользователя. Замена в этом случае делается через личный кабинет сервиса или заявку в поддержку, а не через КриптоПро.

Если в базе ведётся несколько организаций, замену выполняйте по каждой отдельно: у каждой организации свой сертификат, своя учётная запись ЭДО и свои настройки отчётности. Удобно составить список организаций и отмечать завершённые, чтобы ничего не пропустить.

Маршрут решения

Как выбрать действие

1С файловая, подписание на компьютере пользователяУстановите сертификат локально через КриптоПро и выберите его в настройках 1С

Подписание выполняется на сервере 1СУстанавливайте сертификат и криптопровайдер на сервере, привлеките администратора

Работа в облачном сервисеМеняйте сертификат через личный кабинет сервиса или заявку в поддержку

Оператор ЭДО отклоняет документы после заменыЗарегистрируйте новый сертификат у оператора и повторите отправку

Частые вопросы о замене сертификата ЭЦП в 1С

Можно ли заменить сертификат, пока старый ещё действует?

Да, и это рекомендуемый подход. Установите новый сертификат заранее, за несколько недель до окончания старого, настройте его в 1С и проверьте подписание. Старый сертификат при этом не удаляйте — оба могут сосуществовать в системе, а в настройках 1С вы укажете, какой использовать для новых документов.

Что делать, если 1С не видит новый сертификат в списке?

Проверьте, отображается ли сертификат в самом КриптоПро CSP и есть ли у него ссылка на закрытый ключ. Перезапустите 1С после установки — программа кэширует список сертификатов. Если сертификат хранится в хранилище другого пользователя или компьютера, добавьте его в 1С вручную из файла.

Нужно ли заново настраивать ЭДО с контрагентами после замены?

Сами соглашения с контрагентами сохраняются — меняется только сертификат в учётной записи. Но новый открытый ключ должен быть известен оператору ЭДО, поэтому после замены выполните тестовую отправку. Приглашения контрагентам заново рассылать не требуется.

Можно ли подписывать документы старым сертификатом до конца его срока?

Технически да, пока сертификат действителен и не отозван. Однако если сертификат заменён из-за смены реквизитов (ФИО, организация), использовать старый нельзя — подписанные им документы могут быть оспорены. При плановой замене по истечении срока переходите на новый сразу после настройки.

Что произойдёт с документами, подписанными старым сертификатом?

Ничего — подписи остаются юридически значимыми, если на момент подписания сертификат действовал. Для проверки таких подписей в будущем храните файл старого сертификата и не удаляйте его из системы, пока актуальны документы, подписанные им.