Электронная подпись для отчётности: как настроить КриптоПро и Cadesplugin и не потерять КЭП

Электронная подпись перестала быть «поставил и забыл»: обновляются стандарты шифрования, меняются версии КриптоПро CSP, порталы ФНС и СФР ужесточают требования к сертификатам, а часть USB-носителей вообще не поддерживает новые ГОСТы. Из-за этого отчёт, который бухгалтер отправил вчера, сегодня может уйти с ошибкой «сертификат недействителен» или «не удалось подписать документ». Ниже — практический разбор того, что стоит проверить на рабочем компьютере, как ведут себя КриптоПро, Cadesplugin (КриптоПро ЭЦП Browser Plug-in) и сама ЭП, и что делать, если подпись перестала проходить в СБИС, 1С-Отчётности, Контур.Экстерне или на портале ФНС.

Что вообще проверяют порталы и операторы ЭДО

Электронная подпись подтверждает, кто подписал документ, и что после подписания его не изменили. Регулирует это 63-ФЗ «Об электронной подписи», который устанавливает три вида подписи:

ПЭП — простая электронная подпись (коды из СМС, логин-пароль). Годится для внутренних документов и части кадрового ЭДО.
НЭП — неквалифицированная. Применяется там, где стороны заранее договорились о правилах проверки.
КЭП — квалифицированная. Именно её ждут ФНС, СФР, Росалкогольрегулирование, суды и большинство контрагентов при сдаче отчётности.

Для большинства отчётов юрлиц и ИП нужна именно КЭП, выданная аккредитованным УЦ (ФНС, УЦ Минцифры и доверенные УЦ). Условия юридической силы напрямую зависят от вида: ПЭП и НЭП работают только в рамках соглашения сторон, а КЭП — по умолчанию приравнена к собственноручной.

Портал ФНС при приёме отчёта смотрит сразу на несколько вещей:

срок действия сертификата и наличие его в реестре;
цепочку корневых сертификатов Минцифры и УЦ ФНС;
версию средства криптографической защиты (СКЗИ) — «КриптоПро CSP»;
наличие действующей лицензии на СКЗИ;
актуальность браузерного плагина Cadesplugin;
корректность МЧД, если документ подписывает не директор, а сотрудник по доверенности.

Если хотя бы один пункт «плывёт» — отчёт уходит, но приходит квитанция об отказе, а иногда отправка просто зависает на этапе «Подготовка к отправке».

Какая версия КриптоПро CSP нужна сейчас

По актуальным требованиям ФНС, для корректного взаимодействия с порталами ведомства требуется КриптоПро CSP версии 5.0.12000 и выше. Более старые сборки (4.0, ранние 5.0) не поддерживают новые стандарты шифрования и не пройдут проверку на стороне приёмного шлюза. Актуальная сертифицированная линейка — КриптоПро CSP 5.0 R3 (сборка 5.0.13003) и более свежие релизы.

Что делать бухгалтеру:

Открыть «Панель управления» → «КриптоПро CSP».
На вкладке «Общие» посмотреть номер версии в правом нижнем углу окна.
Если версия ниже 5.0.12000 — скачать дистрибутив с сайта cryptopro.ru (или у своего УЦ/партнёра) и обновиться.
После установки перезагрузить компьютер и убедиться, что лицензия подхватилась: вкладка «Общие» → «Лицензия» → «Срок действия».
Если лицензия бессрочная и уже активирована — она переносится при обновлении, повторно вводить серийный номер не нужно.

Лицензии КриптоПро поставляются в электронном виде по почте, в том числе для физлиц — ехать никуда не требуется. Это удобно, когда бухгалтер обновляет СКЗИ в день сдачи отчёта.

Cadesplugin: что это и почему он «отваливается»

Cadesplugin — это КриптоПро ЭЦП Browser Plug-in. Именно он «склеивает» браузер и КриптоПро CSP, чтобы подпись работала прямо в веб-интерфейсах: в личном кабинете ФНС, на портале СФР, в СБИС, в Контур.Экстерне, Диадоке, на сайтах госуслуг и ЕГАИС.

Программный компонент для работы с электронной подписью в браузере — КриптоПро ЭЦП Browser Plug-in версии 2.0 и выше. Файл установщика обычно называется cadesplugin.exe.

Типовые причины, по которым плагин перестаёт видеть сертификат:

плагин устарел после обновления браузера;
браузер сам отключил плагин как «небезопасный»;
работа идёт в портативном браузере (Portable Chrome, старый Internet Explorer) — плагин в них не регистрируется;
на компьютере одновременно стоят ESP-версия Cadesplugin и «полный» КриптоПро — конфликт библиотек;
пользователь вошёл в систему под другой учётной записью Windows.

Практика: если подпись не ставится в веб-сервисе, но в настольной программе СБИС всё работает — почти наверняка проблема в Cadesplugin или в браузере. Достаточно переустановить cadesplugin.exe из-под той учётной записи, в которой работает бухгалтер, и перезапустить браузер.

Пошаговая проверка ЭП перед сдачей отчётности

Порядок, который экономит часы в день сдачи:

Проверить срок действия сертификата КЭП. Если до окончания меньше 30 дней — запускать перевыпуск заранее.
Открыть «Инструменты КриптоПро» → вкладка «Сертификаты» → выбрать нужный сертификат двойным кликом и убедиться, что статус «Действителен».
Посмотреть, какой носитель используется (Рутокен, JaCarta, ESMART, Rutoken Lite и т. д.) и поддерживает ли он актуальные ГОСТы. Ряд старых USB-токенов новые стандарты шифрования не поддерживает — их придётся заменить.
Проверить наличие корневых сертификатов Минцифры и УЦ ФНС в хранилище «Доверенные корневые центры сертификации».
Убедиться, что установлен Cadesplugin актуальной версии.
Проверить, что приложение, через которое идёт сдача (СБИС, 1С, Экстерн), обновлено до последнего релиза.
Если подпись оформлена на сотрудника, а не на директора — выпустить или продлить МЧД и привязать её к сертификату в учётной системе.

Отдельный момент — сертификаты, выданные УЦ ФНС. У них свои правила продления: заявление подаётся через личный кабинет, а сертификат выдаётся на новом носителе либо перезаписывается на существующий. При смене директора или реквизитов юрлица КЭП нужно перевыпускать.

СБИС и Saby: что нажать, если подпись не проходит

В СБИС большинство проблем с ЭП решается внутри «Помощника настройки» и «Управления сертификатами». Порядок действий:

Открыть раздел «Настройки» → «Электронная подпись» (или иконку ключа в верхней панели).
Нажать «Проверить подпись» — СБИС прогонит тест: найдёт сертификат, проверит носитель, лицензию КриптоПро и цепочку корневых сертификатов.
Если тест показывает «Сертификат не найден» — снять и вставить носитель, обновить список сертификатов, перезапустить программу.
Если «Нет лицензии КриптоПро» — ввести серийный номер лицензии либо установить актуальную сборку.
Если во вкладке «Сертификаты» нужного нет — проверить, что носитель подключён именно к тому компьютеру, где стоит СБИС, и не занят другим приложением.

В Saby (облачный вариант) логика похожая, но проверка выполняется через веб-плагин. Здесь критично состояние Cadesplugin: именно он позволяет браузеру увидеть носитель.

Если отчёт уже отправлен, но пришла квитанция об отказе — не нужно сразу перевыпускать подпись. Стоит открыть квитанцию, посмотреть код ошибки и текст пояснения. Чаще всего это: «истёк срок сертификата», «не найден корневой сертификат», «некорректная МЧД», «отсутствует полномочие подписанта». В первых двух случаях помогает прокачка корневых сертификатов и обновление КриптоПро, в остальных — правки в МЧД.

Контур.Экстерн и Диадок: в чём разница по подписи

Контур.Экстерн, как и СБИС, работает с КЭП напрямую через установленный на компьютере КриптоПро CSP. Разница в интерфейсе: в Экстерне есть «Диагностика» — отдельный мастер, который сам проверяет носитель, сертификат, лицензию и плагин, а потом выдаёт отчёт с конкретными рекомендациями. Это удобно, когда подпись нужна бухгалтеру без навыков настройки СКЗИ.

Диадок — это ЭДО для обмена документами с контрагентами. Здесь тоже используется КЭП, но чаще именно для подписания УПД, счетов-фактур, актов. Для Диадока критична корректность сертификата сотрудника и наличие МЧД, если подписывает не директор: контрагент или оператор может отклонить документ, если полномочий нет в реестре.

Что важно понимать: независимо от того, СБИС это, Экстерн или Диадок, физически подпись формируется КриптоПро CSP с использованием закрытого ключа на носителе. Поэтому «переустановить оператора» при проблеме с ЭП почти никогда не помогает — чинить нужно среду СКЗИ.

Ошибки и риски: что делать, если подпись не прошла

Типичные сценарии и решения:

Квитанция об отказе с формулировкой «сертификат недействителен». Проверить срок действия в «Инструментах КриптоПро» на вкладке «Сертификаты». Если срок истёк — срочно перевыпускать, отчёт пересдать с новой ЭП. Штраф за просрочку отчётности при этом никуда не исчезает, поэтому перевыпуск стоит делать, не дожидаясь последнего дня.
Ошибка «не удалось подписать документ» в браузере. Обновить Cadesplugin, перезапустить браузер, проверить, что носитель виден в «Панели управления КриптоПро».
«Сертификат не найден» в СБИС. Часто из-за того, что закрытый ключ лежит на носителе, который не поддерживает новые ГОСТы. Тогда нужна замена токена.
Отчёт уходит, но квитанция не приходит часами. Проверить настройки транспорта и статус в «Отправленных». Возможно, документ подписан, но застрял в очереди у оператора.
Требование ФНС о пояснениях после сдачи. Ответ подписывается той же КЭП; если подписант — сотрудник, нужна действующая МЧД.
Блокировка счёта. Часто следствие непредставления отчёта или декларации в срок. Причина обычно не в подписи, а в том, что отчёт вовремя не прошёл. Поэтому проверять подпись нужно за несколько дней до дедлайна.

МЧД — отдельная головная боль. Сейчас машиночитаемая доверенность обязательна практически во всех случаях, когда документ подписывает не руководитель. Если МЧД отозвана, просрочена или не привязана к сертификату, отчёт будет отклонён, даже если сама ЭП технически исправна. Проверять её статус стоит в личном кабинете ФНС и в настройках ЭДО-оператора.

Что сделать заранее, чтобы подпись не подвела

Обновить КриптоПро CSP до версии 5.0.12000 и выше.
Обновить Cadesplugin (cadesplugin.exe).
Проверить носитель на поддержку актуальных ГОСТов, при необходимости — заменить токен.
Загрузить свежие корневые сертификаты Минцифры и УЦ ФНС.
Продлить сертификат КЭП минимум за 30 дней до окончания.
Проверить МЧД для сотрудников, которые подписывают документы.
Прогнать диагностику в СБИС, Saby, Контур.Экстерне заранее, а не 30-го числа.

Частые вопросы

Что делать, если отчёт не приняли из-за ошибки подписи?

Открыть квитанцию об отказе и прочитать код ошибки. Самые частые причины — истёкший сертификат, отсутствие корневых сертификатов или неактуальная МЧД. Если проблема в сертификате — перевыпустить КЭП и отправить отчёт повторно. Если в корневых — обновить их через «Инструменты КриптоПро» и повторить отправку.

Куда смотреть, чтобы проверить статус отправки отчёта?

В СБИС — раздел «Отчёты» → «Отправленные», колонка «Статус» и «Квитанции». В Контур.Экстерне — журнал отправки с отметками о доставке. В обоих случаях видно, доставлен ли отчёт, принят ли и есть ли квитанция об отказе с кодом ошибки.

Как понять, что сертификат КЭП пора менять?

Открыть «Инструменты КриптоПро» → вкладка «Сертификаты» → выбрать сертификат и посмотреть срок действия. Если до окончания меньше месяца — пора перевыпускать, чтобы не оказаться без подписи в день сдачи. Если сертификат выпущен на старый носитель, который не поддерживает актуальные ГОСТы, замена потребуется раньше — при первой же попытке взаимодействия с порталами ФНС.

Что делать, если подпись не проходит в браузере, а в программе СБИС работает?

Проблема почти всегда в Cadesplugin или самом браузере. Стоит переустановить cadesplugin.exe из-под рабочей учётной записи, перезапустить браузер и проверить, что носитель виден в «Панели управления КриптоПро». Устаревшие браузеры вроде Internet Explorer и портативные сборки Chrome плагин часто не поддерживают.

Как сдать отчёт, если сертификат директора истёк, а подписывает главбух?

Нужна КЭП главбуха плюс действующая МЧД от директора. Без МЧД портал отклонит отчёт, даже если подпись технически исправна. МЧД оформляется через личный кабинет ФНС, а затем привязывается в настройках оператора ЭДО — в СБИС, Экстерне или Диадоке.

Нужно ли перевыпускать КЭП при смене директора?

Да. Сертификат выпущен на конкретное физлицо, поэтому при смене руководителя старый КЭП использовать нельзя. Новому директору выпускается собственный сертификат, а сведения в ЕГРЮЛ должны быть обновлены до сдачи очередной отчётности.

Что делать, если пришло требование ФНС о пояснениях, а подпись не ставится?

Сначала восстановить работоспособность КЭП: обновить КриптоПро, Cadesplugin, проверить носитель. Затем подготовить пояснения и подписать их той же ЭП. Срок ответа на требование ограничен, поэтому затягивать с настройкой не стоит — при пропуске срока возможны штрафы.

Как быть, если Рутокен перестал поддерживаться после обновления ГОСТов?

Проверить модель носителя на сайте производителя: не все USB-токены поддерживают новые стандарты шифрования. Если носитель не подходит — получить новый токен в УЦ при перевыпуске сертификата и перенести на него КЭП.

Вывод

Электронная подпись — это не только сам сертификат, но и вся обвязка: КриптоПро CSP актуальной версии, корректно установленный Cadesplugin, действующая лицензия, свежие корневые сертификаты и МЧД для подписантов-сотрудников. Проверить это стоит заранее, до дня сдачи: зайти в «Инструменты КриптоПро», прогнать диагностику в СБИС, Saby или Контур.Экстерне, убедиться, что сертификат действителен, а носитель поддерживает новые ГОСТы. Такая короткая ревизия раз в квартал избавляет от квитанций с отказами, повторных отправок и разговоров со штрафами.