Как установить личный сертификат через КриптоПро CSP

Личный сертификат — это файл с открытой частью электронной подписи. В нём указаны данные владельца, сведения об удостоверяющем центре, срок действия и открытый ключ. Фактически сертификат показывает системе, кому принадлежит электронная подпись.

Для использования электронной подписи недостаточно только личного сертификата, дополнительно нужен закрытый ключ. Он хранится отдельно на USB-токене, например Рутокен или JaCarta, либо в ключевом контейнере на компьютере.

Сертификат и закрытый ключ должны быть связаны между собой. Если связи нет, сайт может видеть сертификат, но не сможет сформировать электронную подпись. Например, в списке сертификатов он будет отображаться, но при попытке подписать документ появится ошибка.

— Как получить электронную подпись   

Отдельная установка личного сертификата нужна не всегда, иногда ЭП работает без дополнительной настройки. Сертификат нужно устанавливать вручную в следующих случаях:

Один из самых частых сценариев, когда требуется установить личный сертификат через КриптоПро, — подпись перестала работать после переноса ключа или при смене устройства.

Установка личного сертификата не требуется, если вы уже входите в сервисы по ЭП, подписываете документы и сертификат отображается в браузере. Скорее всего, он уже был добавлен автоматически при выпуске электронной подписи или при первой настройке рабочего места.

Перед установкой необходимо сначала проверить, есть ли сертификат в системе. Это поможет не делать лишних действий. Чтобы проверить, откройте КриптоПро CSP — для этого на Windows в поисковой строке введите «КриптоПро CSP».

После запуска программы перейдите во вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».

В следующем окне нажмите «Обзор». Если токен подключён и контейнер доступен, КриптоПро покажет список найденных контейнеров.

Выберите нужный и нажмите «ОК», затем «Далее». Если сертификат уже есть в контейнере, то откроется окно с данными владельца, издателя, сроком действия и другой информацией.

Если сертификат отображается корректно и подпись уже работает на нужном сайте, устанавливать его повторно не нужно. Если сертификат не найден или КриптоПро не показывает данные владельца, переходите к установке.

Существует несколько способов установки личного сертификата через КриптоПро CSP, но перед этим необходимо убедиться, что на компьютере есть всё необходимое:

Если подпись хранится на USB-токене, проверьте, установлен ли драйвер носителя. КриптоПро и драйвер токена — это разные программы. КриптоПро отвечает за криптографию, а драйвер помогает системе увидеть сам носитель.

Установить сертификат с корректной привязкой без самого USB-токена при его наличии не получится. При этом сертификат можно добавить в хранилище Windows без КриптоПро CSP, но он не будет полноценным для подписания. Для электронной подписи всегда нужна связка сертификата и закрытого ключа.

Важно: если контейнер расположен в реестре или на компьютере, USB-токен может не понадобиться.

Этот способ подходит, если сертификат уже записан в контейнер ключа. Чаще всего так бывает, когда электронная подпись записана на токен.

Откройте «Инструменты КриптоПро», если они доступны в вашей версии CSP. Обычно программа устанавливается вместе с КриптоПро CSP, поэтому отдельно устанавливать не требуется.

Далее перейдите в раздел «Контейнеры». В списке должны появиться доступные контейнеры закрытых ключей.

Если контейнеров несколько, ориентируйтесь по дате, имени владельца или носителю. Если непонятно, какой выбрать, используйте проверку контейнера, встроенную в программу. В результатах будут сведения, которые помогут определить нужную подпись.

Выберите в списке нужный контейнер и нажмите «Установить сертификат» либо нажмите соответствующую кнопку из окна проверки. 

При успешной установке внизу окна появится сообщение, что сертификат был установлен.

Если кнопка «Установить сертификат» неактивна, это обычно означает, что сертификата в выбранном контейнере нет. В таком случае используйте установку из файла .cer, если он был выдан удостоверяющим центром.

Этот способ нужен, если сертификат находится отдельным файлом на компьютере. Например, удостоверяющий центр выдал файл сертификата, а закрытый ключ хранится на токене.

Для установки откройте программу КриптоПро CSP, перейдите во вкладку «Сервис» и нажмите «Установить личный сертификат».

Откроется мастер установки личного сертификата, в котором необходимо кликнуть «Далее» и после этого выбрать файл с расширением .cer, расположенный на вашем компьютере.

После выбора файла КриптоПро покажет сведения о владельце, сроке действия и поставщике.

Если данные верны, нажмите «Далее» и выберите контейнер закрытого ключа. Если вы не знаете, где он расположен, можно выбрать опцию «Найти контейнер автоматически». Так КриптоПро попробует найти контейнер, который соответствует выбранному сертификату.

Если автоматический поиск не сработал, нажмите «Обзор» и выберите нужный контейнер вручную. 

После выбора контейнера программа предложит указать хранилище сертификатов. Для большинства задач подойдет вариант «Личное» — это стандартное хранилище пользователя. 

На компьютере с Windows файл .cer можно открыть двойным кликом — так вы можете увидеть сведения и кнопку установки сертификата. 

Такой способ установки возможен для некоторых типов сертификатов, но для электронной подписи он чаще всего не подходит. Установка через встроенный функционал сохраняет сертификат во внутреннее хранилище Windows, которое не связано с закрытым ключом. В результате он будет виден в Windows, но не будет работать для подписания.

Для настройки личного сертификата электронной подписи необходимо использовать КриптоПро. Так вы сможете не просто добавить сертификат в систему, а связать его с контейнером закрытого ключа для электронной подписи.

После установки нужно проверить не только наличие сертификата, но и его работоспособность. Для этого откройте КриптоПро CSP, перейдите во вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».

Далее выберите контейнер и откройте сведения. Если всё настроено корректно, КриптоПро покажет данные владельца и срок действия. 

Дополнительно проверьте сертификат в браузере или на сайте, где планируете использовать подпись. Например, для проверки можно использовать официальный инструмент КриптоПро.

Если подпись сформирована успешно, значит, всё установлено и настроено правильно.

Если на этапе установки КриптоПро не показывает контейнер закрытого ключа, проблема обычно не в сертификате. Решение зависит от конкретной проблемы, но сначала важно убедиться, что токен подключён к компьютеру. Если да, то необходимо физически переподключить устройство, для этого необходимо отсоединить и заново подключить USB-токен к компьютеру.

Дополнительно проверьте драйвер токена. Для Рутокен и JaCarta нужны отдельные программы производителя, без них система может не увидеть носитель, а КриптоПро не покажет контейнер.

Если токен определяется, но контейнера всё равно нет, откройте программу управления токеном и проверьте, виден ли носитель там. Например, через Центр Управления Рутокен.

Также убедитесь, что токен не заблокирован после неправильного ввода PIN-кода.

Если ни один способ не помог решить проблему, обратитесь в службу поддержки.

Сам факт установки сертификата ещё не означает, что электронная подпись готова к работе. Проверьте, связан ли сертификат с закрытым ключом.

Если контейнер открывается и КриптоПро показывает сертификат владельца, это означает, что он связан с закрытым ключом. Если связи нет, подпись не сформируется.

Убедитесь, что установлен КриптоПро ЭЦП Browser plug-in и расширение КриптоПро в браузере включено. Одной программы КриптоПро CSP недостаточно. При первичной установке обязательно перезапустите браузер — не просто закройте вкладку, а полностью завершите работу браузера и откройте его заново.

На одном компьютере может быть установлено несколько сертификатов, например старая подпись и новая подпись либо сертификат руководителя и сертификат сотрудника.

При установке ориентируйтесь по сроку действия и владельцу. Если инструмент предлагает несколько одинаковых сертификатов, откройте каждый и проверьте дату окончания. У рабочего сертификата срок действия не должен быть истекшим.

Для удобства можно удалить просроченные сертификаты из хранилища. Но это делать необязательно, например их можно оставить, если вы не уверены, что они больше не нужны. Главное, при подписании документов выбрать актуальный.

При переносе данных с одного компьютера на другой действия необходимо предпринять на обоих устройствах.

На старом устройстве необходимо в КриптоПро CSP:

Далее необходимо выбрать формат файла и кодировку. Для большинства задач подходит «Файл X509 (.CER) в кодировке DER».

Файл сертификата необходимо сохранить и далее перенести на новое устройство. Далее на новом устройстве необходимо:

Если закрытый ключ остался на токене или старом компьютере, один файл .cer не даст возможности подписывать документы. На практике это значит, что недостаточно перенести файл, важно установить личный сертификат через КриптоПро.