Вы нажимаете «Подписать» на портале налоговой, в системе ЭДО или в программе, а в ответ получаете сообщение «Не удалось подписать документ» или «Ошибка при создании подписи». Первое желание — переустановить всё подряд, но это часто только добавляет проблем. Подпись складывается из нескольких звеньев: токен, сертификат, КриптоПро, плагин в браузере. Ниже — порядок, в котором их стоит проверять, чтобы быстро найти сломанное звено.
Коротко
- Сначала сохраните точный текст ошибки: в нём почти всегда есть подсказка — сертификат, ключ, лицензия, цепочка или плагин.
- Проверяйте снизу вверх: токен виден → сертификат действует и связан с ключом → КриптоПро с действующей лицензией → браузер и плагин.
- Если подпись не работает только на одном сайте, а в других местах работает, дело почти наверняка в браузере или плагине.
- Не удаляйте контейнер ключа и сертификаты «на всякий случай»: восстановить их бывает невозможно.
Из чего состоит подпись на компьютере
Чтобы понимать, что именно сломалось, полезно знать, как устроена электронная подпись (ЭЦП) на рабочем месте бухгалтера:
- Токен — USB-носитель вроде флешки (Рутокен, JaCarta и другие). На нём хранится контейнер с закрытым ключом — той частью подписи, которой вы подписываете. Ключ защищён PIN-кодом.
- Сертификат — электронный «паспорт» подписи: кому выдана, кем и до какого числа действует. Он должен быть установлен в Windows и связан с контейнером.
- КриптоПро CSP — программа-криптопровайдер, которая выполняет само подписание по российским алгоритмам. Работает по лицензии.
- Плагин и расширение браузера — нужны, если подписываете на сайте. Связывают страницу портала с КриптоПро.
Ошибка подписания означает, что одно из этих звеньев не отвечает. Проверяем их по очереди.
Шаг 1. Прочитайте и сохраните текст ошибки
Сделайте снимок экрана или перепишите сообщение полностью, включая код в скобках, если он есть. Часто по нескольким словам уже понятно направление:
- есть слова «сертификат не найден», «не выбран сертификат» — проблема с токеном или установкой сертификата;
- «набор ключей не существует», «ключ не найден» — сертификат не связан с контейнером или токен не вставлен;
- «лицензия», «истёк срок действия» — проверьте лицензию КриптоПро и срок сертификата;
- «цепочка сертификатов», «недоверенный корневой центр» — не установлены корневые или промежуточные сертификаты удостоверяющего центра;
- «плагин недоступен», «не удалось загрузить плагин» — проблема в браузере.
Шаг 2. Токен вставлен и виден
- Проверьте, что токен вставлен, а на нём горит индикатор (у большинства моделей он есть).
- Если токенов несколько (например, отдельный ключ для ЕГАИС), убедитесь, что вставлен нужный.
- Откройте КриптоПро CSP, вкладку «Сервис», нажмите «Просмотреть сертификаты в контейнере» и «Обзор». В списке должен быть ваш контейнер. Если списка нет или он пуст, компьютер не видит токен — это отдельная проблема с драйвером или считывателем, её нужно решить первой.
Ещё одна частая причина на этом шаге — заблокированный PIN-код. После нескольких неверных попыток токен блокирует ввод. Разблокировка зависит от модели токена и от того, кто его выдал; не перебирайте PIN наугад.
Шаг 3. Сертификат действует и связан с ключом
- Откройте сертификат: в КриптоПро CSP — «Сервис» → «Просмотреть сертификаты в контейнере» → выберите контейнер → «Свойства». Или через хранилище Windows (Win + R → certmgr.msc → «Личное» → «Сертификаты»).
- На вкладке «Общие» посмотрите срок действия. Если он закончился, подпись работать не будет — нужен новый сертификат.
- Там же внизу должна быть отметка, что для сертификата есть закрытый ключ. Если её нет, сертификат установлен «отдельно» от контейнера. Установите его заново из контейнера на токене (кнопка «Установить» в окне сертификата из КриптоПро).
- Посмотрите вкладку «Путь сертификации». Если внизу написано, что сертификат действителен, — цепочка в порядке. Если есть предупреждение, нужно установить корневые и промежуточные сертификаты удостоверяющего центра.
- Если в личном хранилище несколько похожих сертификатов (старые, просроченные), при подписании легко выбрать не тот. Посмотрите, какой сертификат выбирает портал или программа, и сравните срок действия.
Не удаляйте старые сертификаты и тем более контейнеры на токене, пока не убедились, что они не нужны. Удалённый контейнер с ключом не восстанавливается — придётся выпускать подпись заново. Если хочется навести порядок, сначала сохраните список сертификатов и проконсультируйтесь.
Шаг 4. КриптоПро и его лицензия
- Откройте КриптоПро CSP, вкладка «Общие». Там указаны версия программы и сведения о лицензии: тип и срок действия.
- Если лицензия истекла, подписание в программах и на сайтах перестаёт работать. При этом у части сертификатов лицензия на КриптоПро встроена в сам сертификат — тогда подпись работает и без отдельной лицензии. Что именно у вас, станет понятно после проверки; покупать лицензию заранее не нужно.
- Проверьте, не установлено ли на компьютере два криптопровайдера сразу, например КриптоПро CSP и ViPNet CSP. Они могут конфликтовать, и тогда подписание ломается без понятной причины. Если второй провайдер нужен для другой системы, этот вопрос лучше решать со специалистом.
- Если КриптоПро давно не обновлялся, а портал требует более новую версию, установите актуальную версию с официальной страницы КриптоПро CSP.
В КриптоПро CSP 5.0 те же сведения и действия есть и в приложении «Инструменты КриптоПро»; расположение пунктов там отличается от классического окна.
Шаг 5. Браузер и плагин
Если подпись работает в программе (например, в 1С или в клиенте отчётности), а на сайте нет — проблема в браузере.
- Уточните на портале, какой плагин ему нужен. Многие сайты используют КриптоПро ЭЦП Browser plug-in, но у некоторых порталов собственный плагин — об этом пишут в их инструкциях по входу или подписанию.
- Для КриптоПро ЭЦП Browser plug-in на странице плагина на сайте КриптоПро есть ссылка на проверку его работы в вашем браузере. Если проверка не проходит, следуйте подсказкам на ней.
- Убедитесь, что расширение плагина включено в настройках браузера. После установки плагина в некоторых браузерах его нужно включить вручную.
- Попробуйте другой поддерживаемый браузер: так вы быстро поймёте, в браузере дело или в подписи.
- Добавьте адрес портала в доверенные узлы плагина, если сайт об этом просит.
Что видите → частая причина → что сделать
| Что видите | Частая причина | Что сделать |
|---|---|---|
| Список сертификатов при подписании пустой | Токен не виден, сертификат не установлен в «Личное» | Проверить токен, установить сертификат из контейнера |
| Ошибка про отсутствующий ключ или набор ключей | Сертификат не связан с контейнером, вставлен не тот токен | Установить сертификат заново через КриптоПро |
| Ошибка про лицензию | Истекла лицензия КриптоПро CSP | Проверить вкладку «Общие» и тип лицензии |
| Ошибка про цепочку или доверие | Нет корневого или промежуточного сертификата | Установить сертификаты удостоверяющего центра |
| Подпись работает в программе, но не на сайте | Плагин не установлен или расширение выключено | Проверить плагин на странице проверки, включить расширение |
| Ошибка появилась после установки другой программы подписи | Конфликт криптопровайдеров | Выяснить, какой провайдер нужен, обратиться к специалисту |
Когда стоит позвать специалиста
Если вы прошли все шаги, а подпись по-прежнему не создаётся, или на компьютере несколько программ подписи, старые версии КриптоПро и десяток сертификатов, — быстрее поручить проверку тому, кто делает это регулярно. Например, удалённая настройка ЭЦП, КриптоПро и плагинов для порталов: специалист подключится к компьютеру и проверит все звенья, не трогая ключи без необходимости.
Частые вопросы
Вчера всё подписывалось, сегодня нет. Что могло измениться?
Чаще всего — истёк срок сертификата или лицензии КриптоПро, обновился браузер и отключилось расширение, либо вставлен другой токен. Начните с проверки срока сертификата и лицензии.
Нужно ли переустанавливать КриптоПро при любой ошибке подписи?
Нет. Переустановка помогает, только если повреждена сама программа. В остальных случаях она ничего не меняет, а иногда и мешает: например, если при удалении сбросились настройки считывателей.
Можно ли подписать документ, если PIN-код заблокирован?
Нет, пока PIN не разблокирован. Порядок разблокировки зависит от модели токена и от того, кто его выдал. Если не знаете PIN администратора, обратитесь в удостоверяющий центр, выдавший подпись.
Подпись работает на одном портале и не работает на другом. Почему?
У порталов разные требования к плагинам, браузерам и сертификатам. Например, для одних нужна подпись руководителя, для других достаточно подписи сотрудника с доверенностью. Проверьте требования конкретного портала.