Как настроить обмен с ФСС (СФР) через HTTPS в 1С:ЗУП и обосновать безопасность перед системными администраторами

При настройке обмена электронными листками нетрудоспособности (ЭЛН) и другими документами с Фондом социального страхования (ныне Социальный фонд России — СФР) из программы 1С:Зарплата и Управление Персоналом, специалисты часто сталкиваются с жесткими требованиями информационной безопасности. В крупных компаниях, особенно с международным участием, передача персональных данных по протоколу HTTP категорически запрещена корпоративными политиками. Разберем, как перевести обмен на защищенный протокол HTTPS, какие актуальные адреса использовать и как аргументировать безопасность системы перед системными администраторами.

Переход от ФСС к СФР: актуализация протоколов

Прежде всего, проанализируем текущую ситуацию. С 1 января 2023 года ФСС и ПФР объединились в единый Социальный фонд России (СФР). Это повлекло за собой не только изменение реквизитов, но и постепенное обновление технологических шлюзов. Если ранее многие сервисы действительно были доступны только по http://docs.fss.ru, то современные шлюзы СФР полноценно поддерживают работу через 443 порт (HTTPS).

Рассмотрим актуальные адреса, которые необходимо разрешить на файрволе и прописать в настройках 1С:

1. Общий шлюз приема отчетности и документооборота: https://docs.fss.ru
2. Система электронного документооборота (СЭДО): https://sedo.fss.ru
3. Веб-сервис для работы с ЭЛН: https://eln.fss.ru/ws-pnvlnv/FileOperationsLnPort?WSDL

Важно понимать, что использование HTTPS-адресов в современных релизах 1С:ЗУП (начиная с 2023 года) является стандартом по умолчанию. Если в вашей базе до сих пор прописан http, выясним причину: либо используется устаревший релиз конфигурации, либо настройки были перенесены из очень старых копий базы вручную.

Техническое обоснование безопасности (Аргументы для ИТ-службы)

Часто системные администраторы в Европе, Индии или других регионах блокируют трафик, не понимая специфики работы российских государственных сервисов. Разберем по шагам, как объяснить им структуру защиты данных, даже если используется транспортный протокол HTTP (хотя мы стремимся к HTTPS).

Принцип «Двойного конверта»

В обмене с СФР используется многослойная защита. Даже если злоумышленник перехватит трафик, он не получит доступа к персональным данным сотрудников. Проанализируем процесс шифрования:

1. Прикладной уровень (ГОСТ): Перед отправкой 1С формирует XML-пакет, который подписывается усиленной квалифицированной электронной подписью (УКЭП) и шифруется с использованием криптопровайдера (например, КриптоПро CSP). Используются российские алгоритмы ГОСТ Р 34.10-2012. Шифрование происходит на открытом ключе фонда, который содержится в его сертификате.
2. Транспортный уровень (TLS/SSL): Только после того, как файл уже зашифрован внутри 1С, он передается по сети. При использовании HTTPS добавляется второй слой шифрования — транспортный TLS-канал.

Таким образом, передача идет в зашифрованном виде «внутри» защищенного канала. Если админы требуют HTTPS, мы просто активируем второй слой, но первый (ГОСТ) остается основным гарантом безопасности ПДн по 152-ФЗ.

Настройка HTTPS в 1С:ЗУП

Выясним, как проверить и изменить адреса серверов в программе. В большинстве случаев адреса скрыты в программном коде или константах. Посмотрим на алгоритм действий:

1. Перейдем в раздел Настройки — Организации.
2. Откроем карточку организации и перейдем на вкладку ЭДО.
3. В настройках обмена с ФСС (СФР) проверим состояние подключения. Если программа сообщает об ошибке связи, возможно, блокируется именно протокол.

Для программного изменения адресов (если типовой интерфейс не позволяет это сделать в вашей версии) программисты могут использовать следующий подход для подмены адреса сервиса:

// Пример переопределения URL шлюза перед вызовом веб-сервиса
Определения = Новый WSОпределения(НовыйАдресWSDL, Логин, Пароль);
Прокси = Новый WSПрокси(Определения, "http://www.fss.ru", "FileOperationsLnService", "FileOperationsLnPort");
// Установка таймаута и использование защищенного соединения HTTPS автоматически при указании https в URL
Прокси.Timeout = 60;

Помните, что современные версии 1С:ЗУП получают актуальные адреса через интернет-поддержку. Убедитесь, что у вас включен сервис Интернет-поддержка пользователей, чтобы программа сама обновила эндпоинты на https://....

Проблема ГОСТ-TLS и зарубежных файрволов

Разберем ситуацию, когда админы открыли порт 443, но соединение все равно обрывается. Это специфическая проблема российских госсервисов. Многие шлюзы СФР используют не классический TLS (RSA/ECDSA), а ГОСТ-TLS.

Почему это проблема для иностранных админов?
Зарубежные сетевые экраны (Cisco, Fortinet, CheckPoint) не умеют «просматривать» (inspect) ГОСТ-трафик. Они видят зашифрованный поток, который не соответствует стандартным протоколам, и могут его обрывать.

Как решить:

• Потребуйте внесения доменов *.fss.ru и *.sfr.gov.ru в список исключений (Whitelist) без глубокого анализа пакетов (Deep Packet Inspection — DPI).
• На сервере 1С должен быть установлен корневой сертификат Головного Удостоверяющего Центра (ГУЦ) Минцифры. Без него HTTPS-соединение не будет считаться доверенным со стороны ОС Windows, и 1С выдаст ошибку «Удаленный узел разорвал соединение».

Практические рекомендации по проверке связи

Проанализируем ситуацию с доступностью через командную строку сервера. Перед тем как настраивать 1С, убедитесь, что порт открыт:

Используйте команду в PowerShell:

Test-NetConnection -ComputerName sedo.fss.ru -Port 443

Если результат TcpTestSucceeded : True, значит транспортный уровень доступен, и проблему нужно искать в сертификатах или настройках самой 1С. Если False — возвращаемся к системным администраторам с требованием открыть доступ.

Подведем итог: Обмен с ФСС (СФР) по HTTPS не только возможен, но и является обязательным требованием современности. Основная сложность заключается в синхронизации требований российских криптографических стандартов и глобальных ИТ-политик компании. Использование двойного шифрования (ГОСТ + HTTPS) полностью закрывает риски утечки персональных данных при передаче через публичные сети.