При работе с электронным документооборотом (ЭДО) через оператора «Такском» в программах семейства «1С:Предприятие» пользователи часто сталкиваются с неприятной ситуацией. На этапе диагностики соединения или при попытке отправить/получить документы система выдает критическую ошибку: «Отсутствуют корневые сертификаты сервисов 1c-api.taxcom.ru». При этом документы могут успешно отправляться из других баз или работать на локальных компьютерах, что вызывает путаницу.
В этой статье мы подробно разберем, почему возникает данная неполадка, как устроена архитектура проверки сертификатов в 1С и как пошагово решить проблему на серверах под управлением операционных систем Windows и Linux.
Выясним первопричину проблемы. На первый взгляд кажется, что если в настройках электронной подписи и шифрования 1С сняты флажки «Проверять подписи и сертификаты на сервере» и «Подписывать на сервере», то все операции должны выполняться исключительно на локальном компьютере пользователя (на клиенте). Однако это заблуждение.
Проанализируем технологический процесс обмена. При выполнении диагностики ЭДО, а также при регламентном получении или отправке документов, платформа 1С совершает прямые сетевые вызовы к веб-сервисам оператора по протоколу HTTPS. Адрес шлюза интеграции — 1c-api.taxcom.ru. В клиент-серверном варианте работы системы эти запросы инициируются фоновыми заданиями или серверными вызовами. Это означает, что именно сервер приложений 1С (а не ваш локальный компьютер) пытается установить защищенное SSL/TLS-соединение с сервером «Такском».
Если операционная система, на которой развернут сервер 1С (например, Windows Server или Linux), не доверяет сертификату узла 1c-api.taxcom.ru или не может построить цепочку доверия до доверенного корневого центра, соединение немедленно блокируется. Платформа 1С перехватывает это системное событие и выводит ошибку об отсутствии корневых сертификатов.
Разберем по шагам, как экспортировать необходимый сертификат для его последующей установки на сервере. Сделать это можно через любой веб-браузер на рабочем компьютере.
https://1c-api.taxcom.ru.taxcom-api.cer.Одного лишь сертификата конечного узла часто бывает недостаточно. Для успешной проверки цепочки безопасности операционная система должна доверять корневому удостоверяющему центру (CA), который выпустил данный SSL-сертификат. В случае с сервисом «Такском» используется международный центр сертификации Comodo / Sectigo.
Как показывает практика отладки, система ищет корневой сертификат со следующим уникальным отпечатком:
AF E5 D2 44 A8 D1 19 42 30 FF 47 9F E2 F8 97 BB CD 7A 8C B4
Этот отпечаток принадлежит корневому сертификату COMODO RSA Certification Authority. Если на вашем сервере отключено автоматическое обновление корневых сертификатов через интернет (что часто бывает в закрытых корпоративных сетях), вам потребуется установить его вручную.
Скачайте актуальный корневой сертификат COMODO/Sectigo с официального сайта удостоверяющего центра или экспортируйте его аналогичным образом через вкладку «Путь сертификации» в свойствах сертификата 1c-api.taxcom.ru.
Перенесем сохраненные файлы сертификатов (сертификат узла и корневой сертификат Comodo) на сервер, где запущена служба ragent (сервер приложений 1С:Предприятие). Рассмотрим процесс установки:
certlm.msc и нажмем Enter. Это откроет оснастку управления сертификатами локального компьютера.
certmgr.msc (сертификаты текущего пользователя) бесполезно, так как служба сервера 1С обычно работает под специальной системной учетной записью (например, USR1CV8), и она не получит доступ к личному хранилищу вашей административной учетной записи.COMODO RSA Certification Authority. Обязательно убедимся, что хранилищем выбрано «Доверенные корневые центры сертификации». Завершим импорт.taxcom-api.cer. Его также можно поместить в «Доверенные корневые центры сертификации» или в раздел «Промежуточные центры сертификации».После выполнения этих действий операционная система сервера начнет полностью доверять шлюзу оператора ЭДО.
Если ваш сервер 1С работает под управлением операционной системы семейства Linux (например, Ubuntu, Debian, RedOS, Astra Linux или CentOS), графическая оснастка Windows нам недоступна. Выполним импорт через консоль.
Рассмотрим порядок действий для дистрибутивов Debian/Ubuntu/Astra Linux:
.crt (если он был сохранен в кодировке DER, переведем его в PEM)./usr/local/share/ca-certificates/sudo update-ca-certificatesДля дистрибутивов семейства RedHat/CentOS/Rocky Linux/RedOS процедура выглядит следующим образом:
/etc/pki/ca-trust/source/anchors/sudo update-ca-trustПосле обновления хранилища рекомендуется перезапустить службу сервера 1С командой systemctl restart srv1cv83 (имя службы может отличаться в зависимости от версии и настроек вашей платформы), чтобы изменения вступили в силу для всех запущенных рабочих процессов 1С.
Иногда даже после корректной установки всех цепочек сертификатов ошибка диагностики ЭДО сохраняется. Выясним, с чем это может быть связано.
При установке защищенного соединения операционная система всегда пытается проверить, не был ли предъявленный сертификат отозван выпускающим его центром. Для этого ОС отправляет запросы к спискам отзыва сертификатов (CRL - Certificate Revocation List) по адресам, указанным в самом сертификате.
Если на вашем сервере 1С настроена строгая фильтрация исходящего интернет-трафика (брандмауэр, файрвол, прокси-сервер), сервер не сможет скачать списки отзывов. Из-за этого проверка цепочки доверия завершится аварийно.
Чтобы избежать подобных проблем, убедитесь, что для сервера 1С открыты следующие сетевые доступы:
1c-api.taxcom.ru и webits.1c.ru.После выполнения всех шагов запустите диагностику ЭДО повторно. Ошибка исчезнет, а обмен входящими и исходящими электронными документами с контрагентами будет восстановлен в штатном режиме.