Сертификат не прошел проверку в 1С:Фреш: что делать
Автор: Михаил С., Архитектор 1С · Опубликовано: 22.10.2026
📅 Опубликовано 22 октября 2026 г.
Коротко: сообщение «Сертификат не прошел проверку» в облачной 1С:Фреш означает, что платформа не смогла построить цепочку доверия до корневого сертификата или не получила список отзыва (CRL) с сервера удостоверяющего центра. Криптографические операции в 1С:Фреш выполняются на локальном компьютере, а не на сервере провайдера, поэтому искать причину нужно на рабочем месте: корневые сертификаты, версия криптопровайдера, доступ к адресам CDP по портам 80 и 443, выбранный сертификат и расширение браузера для работы с криптографией.
Главное за 30 секунд
- Кнопка «Проверить» в карточке сертификата последовательно выполняет шесть проверок: наличие установленной программы криптографии, наличие сертификата в личном списке, подписание данных, проверку созданной подписи, шифрование и расшифровку данных. Результат каждого пункта помечается индикатором, по которому открывается техническая информация об ошибке, а падение любого из них даёт одну и ту же общую формулировку.
- Список отзыва (CRL) скачивается по ссылке CDP из самого сертификата – чаще всего по
HTTPна порт 80. Корпоративный прокси или межсетевой экран, закрывающий «небезопасный» 80-й порт, ломает проверку даже при идеально настроенном токене. - В 1С:Фреш возможны два варианта. При работе с собственным сертификатом закрытый ключ остаётся на компьютере бухгалтера или на токене, и веб-клиенту нужны криптопровайдер плюс расширение для работы с файлами и криптографией – без них подписать и проверить подпись не получится. При облачной подписи закрытые ключи хранятся в защищённом хранилище сервиса, все операции выполняются на его стороне с подтверждением через мобильное приложение, и ставить средства криптографии на рабочее место не требуется.
- Сертификат электронной подписи сотрудника выдаётся, как правило, на 1 или 2 года; по умолчанию в сервисах 1С используется двухлетний срок. Истёкший или перевыпущенный ключ даёт ту же ошибку, что и проблемы с сетью.
- Ошибка «Удаленный узел не прошел проверку» – это другая проблема: доверие нужно TLS-сертификату сервера, к которому подключается 1С, подпись отчёта здесь ни при чём.
Что означает ошибка «Сертификат не прошел проверку» в 1С:Фреш?
Когда бухгалтер нажимает «Отправить» в разделе «Отчёты» → «Регламентированные отчёты» или подписывает документ ЭДО, платформа не просто накладывает математическую подпись. Перед этим она запускает полную процедуру валидации: разбирает сертификат, находит издателя, поднимается по цепочке до корневого удостоверяющего центра, сверяет сроки действия каждого звена и запрашивает списки отзыва. Сообщение «Сертификат не прошел проверку» появляется на любом из этих шагов, и текст ошибки, к сожалению, редко указывает, какой именно шаг провалился.
В локальной базе администратор видит ошибку целиком вместе с кодом возврата CryptoAPI. В облачной 1С:Фреш картина сложнее: часть сообщения формируется на сервере сервиса, часть – в браузере, часть приходит от криптопровайдера на машине пользователя. Поэтому одна и та же формулировка у двух сотрудников одной организации может иметь совершенно разные корни – у одного не доверяет корневому сертификату Минцифры, у другого банально вставлен чужой токен.
Отдельно стоит развести два близких по звучанию сценария. «Сертификат не прошел проверку» относится к подписи отчёта или документа. «Не удалось проверить отзыв сертификата» или соответствующий код ошибки криптопровайдера говорят конкретно о недоступности сервера списков отзыва. Первая формулировка – зонтичная, вторая – уже диагноз.
Что такое списки отзыва сертификатов и зачем они нужны?
Список отзыва сертификатов (Certificate Revocation List, CRL) – это подписанный удостоверяющим центром файл, в котором перечислены серийные номера сертификатов, прекративших действие досрочно. Сертификат может быть отозван по заявлению владельца, при увольнении сотрудника, при компрометации ключа или при ликвидации организации. Срок действия у такого сертификата формально ещё не истёк, но доверять ему нельзя.
Проверка по CRL – это обязательный элемент квалифицированной подписи. Без неё подписанный отчёт технически корректен, но юридически уязвим: невозможно доказать, что на момент подписания ключ был действующим. Именно поэтому КриптоПро CSP и платформа 1С по умолчанию не дают завершить операцию, если список недоступен.
Как 1С находит список отзыва?
Внутри каждого квалифицированного сертификата есть расширение CDP (CRL Distribution Points) – это набор адресов, откуда скачивается актуальный список. Адреса прописывает удостоверяющий центр, и повлиять на них нельзя. Схема работы выглядит так:
- Криптопровайдер читает поле CDP сертификата подписанта.
- Скачивает CRL-файл по указанному URL (обычно обычный HTTP).
- Проверяет подпись самого списка – он должен быть подписан тем же УЦ, что выдал сертификат.
- Ищет в списке серийный номер проверяемого сертификата.
- Кладёт список в локальный кеш, чтобы не обращаться к серверу при каждой подписи.
- Повторяет те же шаги для каждого промежуточного и корневого сертификата цепочки.
Ключевая деталь: списки имеют собственный срок действия. Пока кешированный CRL свеж, подпись проходит мгновенно и без интернета. Как только срок истёк, провайдер идёт в сеть – и если доступа нет, операция падает. Отсюда классическая жалоба: «вчера всё работало, сегодня не отправляется». Доступ закрыли не вчера, просто кеш держался до утра.
Чем OCSP отличается от CRL?
Некоторые удостоверяющие центры публикуют точку OCSP – сервис, который отвечает на запрос по одному конкретному сертификату вместо выдачи целого файла. OCSP работает быстрее и даёт более свежий ответ. Проблема в том, что проверка через OCSP чувствительнее к задержкам сети и чаще блокируется прокси, которые не понимают такой трафик. В инфраструктуре с жёстким фильтром удобнее разрешить скачивание CRL.
Почему в облаке ошибка появляется чаще, чем в локальной базе?
Распространённое заблуждение – считать, что в 1С:Фреш подписанием всегда занимается облако. При работе с собственным сертификатом закрытый ключ не покидает рабочее место: сервис 1С:Фреш формирует данные для подписи, передаёт их в браузер, браузер через расширение обращается к криптопровайдеру на локальной машине, получает готовую подпись и возвращает её в облако. В этой цепочке больше звеньев, чем в файловой базе, и каждое может сломаться независимо.
| Звено | Где находится | Типичный сбой | Кто исправляет |
|---|---|---|---|
| Закрытый ключ, контейнер | Токен или реестр локального ПК | Токен не вставлен, контейнер скопирован не полностью | Пользователь |
| Криптопровайдер | Локальный ПК | Устаревшая или нелицензированная версия CSP | Администратор рабочего места |
| Расширение криптографии | Браузер пользователя | Не установлено, отключено, заблокировано политикой | Пользователь, ИТ-служба |
| Доступ к CDP и OCSP | Сеть организации | Закрыт порт 80, прокси подменяет трафик | Сетевой администратор |
| Настройки в базе | Облако 1С:Фреш | Сертификат не привязан к организации или пользователю | Администратор базы |
Отдельная особенность облака – несколько пользователей в одной базе с разными рабочими местами. Директор подписывает с ноутбука через мобильный интернет, бухгалтер – из офиса за корпоративным прокси. Ошибка возникает только у второго, хотя база, сертификат и организация одни и те же. Прежде чем трогать настройки базы, стоит попросить коллегу попробовать отправку со своего компьютера: это бесплатный и быстрый способ локализовать проблему на уровне рабочего места.
Сводная таблица: какая формулировка о чём говорит
Ниже – компактный справочник по реальным сообщениям, которые встречаются при отправке отчётности и работе с ЭДО из 1С:Фреш.
| Сообщение или код | Что произошло | Что проверять в первую очередь |
|---|---|---|
| Сертификат не прошел проверку | Зонтичная ошибка валидации | Кнопку «Проверить» в карточке сертификата – она покажет конкретный провалившийся тест |
| Не удалось проверить отзыв сертификата | Сервер списков отзыва недоступен | Доступ к адресам CDP, прокси, порт 80, кеш CRL |
| Нет доверия к корневому сертификату | Цепочка не достроена до доверенного корня | Установку корня УЦ и кросс-сертификата Минцифры в «Доверенные корневые центры» |
| Срок действия сертификата истёк | Сертификат или звено цепочки просрочены | Даты в карточке, перевыпуск, системное время и часовой пояс ПК |
| Закрытый ключ не найден | Нет связи сертификата с контейнером | Наличие токена, установку сертификата из контейнера в личное хранилище |
| Удаленный узел не прошел проверку | Не доверяем TLS-сертификату сервера | Корневые сертификаты российских УЦ в ОС, прокси с подменой сертификата |
| Отсутствует лицензия на криптопровайдер | Истёк пробный период CSP | Ввод серийного номера, «Управление лицензиями КриптоПро PKI» |
Почему возникает ошибка «Удаленный узел не прошел проверку»?
Эта формулировка относится к защищённому соединению, которое 1С устанавливает с внешним сервером – оператором отчётности, порталом госоргана, сервером удостоверяющего центра. Платформа получает TLS-сертификат узла, пытается проверить его по той же схеме доверия и получает отказ. Отчёт и подпись здесь вообще не при чём.
Три самые частые причины:
- В операционной системе нет корневых сертификатов российских удостоверяющих центров. Многие государственные сервисы перешли на отечественные TLS-сертификаты, и браузер вместе с хранилищем Windows их не знает «из коробки». Корни нужно устанавливать вручную.
- Корпоративный прокси расшифровывает трафик. Шлюзы с инспекцией SSL подменяют сертификат сервера своим. Для браузера это решается установкой сертификата прокси в доверенные, но 1С и криптопровайдер такой подмены не принимают, и правильный выход – вывести адреса операторов отчётности в исключения инспекции.
- Сбился список отозванных TLS-сертификатов или системное время. Разница в несколько часов между часами компьютера и реальным временем превращает действующий сертификат в «ещё не действующий».
Если сообщение появляется при любых операциях с интернетом, в том числе без подписания, начинать стоит с сетевой части. Похожая логика работает и в соседних сценариях – например, когда отчёт не отправляется из 1С вообще без внятного описания причины, корень проблемы почти всегда в доступах: отчётная форма тут ни при чём.
Часто задаваемые вопросы
Почему отчёт отправлялся вчера, а сегодня «сертификат не прошел проверку»?
Чаще всего истёк срок кешированного списка отзыва. Пока CRL был свежим, проверка выполнялась локально и доступ в интернет не требовался. После истечения срока криптопровайдер пошёл за новым списком на сервер УЦ и получил отказ из-за прокси или закрытого порта 80. Второй по частоте вариант – ночное обновление браузера, отключившее расширение криптографии.
Можно ли отключить проверку списков отзыва, чтобы просто отправить отчёт?
Технически в настройках криптопровайдера это возможно, и как диагностический приём на несколько минут приём допустим. Постоянно работать так нельзя: подпись без проверки отзыва не даёт гарантии, что ключ действовал на момент подписания, а приёмный комплекс госоргана выполняет собственную проверку и может отклонить документ.
Нужно ли что-то устанавливать на компьютер, если 1С работает в облаке?
Зависит от варианта подписи. При работе с собственным сертификатом закрытый ключ не передаётся в облако, поэтому на рабочем месте обязательны криптопровайдер, драйверы носителя и расширение браузера для работы с криптографией. При облачной подписи ключи хранятся в защищённом хранилище сервиса, и устанавливать средства криптографии не нужно. Сами конфигурации и платформу обновляет сервис, а локальные компоненты остаются зоной ответственности пользователя и его ИТ-службы.
На какой срок выдаётся сертификат электронной подписи сотрудника?
Как правило, на 1 или 2 года; в сервисах 1С по умолчанию применяется двухлетний срок. Точная дата видна в карточке сертификата в базе и в свойствах сертификата в хранилище Windows. Планировать перевыпуск стоит минимум за месяц до окончания.
У одного бухгалтера отправка работает, у другого нет. База одна – в чём дело?
Значит, проблема обычно на уровне рабочего места или прав: база здесь ни при чём. Сравните версии криптопровайдера, драйверов и браузера, проверьте наличие расширения криптографии, профиль групп доступа в базе и реквизит «Пользователь» в карточке сертификата: если он заполнен, сертификат доступен только одному сотруднику.
Чем отличается «сертификат не прошел проверку» от «удаленный узел не прошел проверку»?
Первое сообщение касается сертификата подписанта: не достроена цепочка доверия или недоступен список отзыва. Второе относится к TLS-сертификату внешнего сервера, с которым соединяется 1С, и лечится установкой корневых сертификатов российских УЦ в операционную систему либо выводом адресов из-под инспекции прокси.
Какие данные подготовить перед обращением к специалисту?
Полный текст ошибки со скриншотом, результат нажатия кнопки «Проверить» по всем шести пунктам, скриншот закладки «Путь сертификации», версии ОС, браузера, криптопровайдера и драйверов токена, а также выгрузку событий журнала регистрации за минуту до и после сбоя. С таким набором диагностика занимает один сеанс вместо нескольких переписок.
Выводы
«Сертификат не прошел проверку» в облачной 1С:Фреш – это обычно результат разрыва в цепочке доверия между рабочим местом, криптопровайдером и серверами удостоверяющего центра: поломка базы и сбой сервиса тут ни при чём. Разбор идёт сверху вниз: кнопка «Проверить» в карточке сертификата сужает область поиска до одного из шести пунктов, путь сертификации показывает состояние цепочки, доступность адреса CDP отвечает за списки отзыва, а журнал регистрации и права в базе закрывают организационную часть.
Львиная доля таких обращений решается силами бухгалтера и ИТ-службы за один сеанс, если действовать по порядку и не менять настройки наугад. Когда причина глубже – рассинхронизация версий на десятке рабочих мест, сложная сетевая инфраструктура, перевыпуск ключей по всей группе компаний – разумнее сразу подключить профессионала и не рисковать сроками сдачи отчётности.