Рассмотрим распространенную и крайне неприятную проблему, с которой часто сталкиваются разработчики и системные администраторы при поддержке систем на платформе 1С:Предприятие 8.2. При попытке выполнить обмен данными с сайтом (например, выгрузку товаров или загрузку заказов) через защищенное соединение HTTPS внезапно возникает критическая ошибка:
{ОбщийМодуль.CMS1C_ПроцедурыОбменаССайтомСервер.Модуль}: Ошибка при вызове метода контекста (ОтправитьДляОбработки): Ошибка работы с Интернет: SSL connect error
Особенно часто эта проблема проявляется после переноса сайта на другой хостинг, смены SSL-сертификата (например, на бесплатный от Let's Encrypt) или обновления настроек безопасности на стороне веб-сервера. При этом через обычный браузер (Google Chrome, Яндекс.Браузер) сайт открывается абсолютно корректно и без предупреждений системы безопасности. Давайте подробно разберем, почему так происходит, как правильно диагностировать эту проблему и какие существуют практические способы ее решения без необходимости обновления платформы 1С.
Чтобы понять, почему возникает ошибка SSL connect error, нам необходимо проанализировать механизм работы платформы 1С 8.2 с защищенными соединениями. В отличие от современных интернет-браузеров, которые имеют встроенные развитые механизмы обхода некоторых ошибок конфигурации SSL и используют актуальные системные хранилища сертификатов, старая платформа 1С 8.2 опирается на собственные, давно не обновлявшиеся библиотеки (в частности, устаревшие версии libcurl и OpenSSL).
Когда 1С пытается установить HTTPS-соединение, происходят следующие процессы:
В контексте использования сертификатов Let's Encrypt критическую роль играет также то, что в сентябре 2021 года истек срок действия старого корневого сертификата DST Root CA X3. Современные сайты перешли на новый корневой сертификат ISRG Root X1. Старые операционные системы и платформы (включая 1С 8.2) «из коробки» не имеют сведений об этом новом корневом сертификате, из-за чего проверка цепочки доверия полностью проваливается.
Кроме того, на новых хостингах по умолчанию часто отключены устаревшие протоколы TLS 1.0 и TLS 1.1. Если веб-сервер принимает запросы строго по протоколам TLS 1.2 и TLS 1.3, а старая платформа 1С пытается стучаться по старым протоколам, то защищенное соединение установить не удастся.
Прежде чем приступать к изменению каких-либо настроек, нам необходимо точно локализовать проблему. Проанализируем состояние SSL-сертификата нашего сайта. Для этого воспользуемся консольной утилитой openssl. Выполним следующую команду в командной строке сервера (заменив адрес сайта на ваш рабочий домен):
openssl s_client -connect вашсайт.ru:443 -servername вашсайт.ru
Внимательно изучим полученный ответ системы. Если в процессе валидации цепочки сертификатов возникает ошибка, мы увидим примерно следующий вывод:
CONNECTED(0000017C)
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 CN = vitateka.ee
verify return:1
---
Certificate chain
0 s:CN = vitateka.ee
i:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
1 s:C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
i:O = Digital Signature Trust Co., CN = DST Root CA X3
Обратим особое внимание на строку: verify error:num=20:unable to get local issuer certificate. Это прямое указание на то, что проверяющая утилита (и, соответственно, наша платформа 1С) не может получить локальный сертификат эмитента, то есть цепочка доверия повреждена. Браузеры умеют самостоятельно подтягивать недостающие промежуточные сертификаты из интернета, а вот встроенные механизмы 1С этого делать не умеют. Им требуется идеально настроенная конфигурация на стороне веб-сервера.
Это самый правильный и системный способ решения проблемы, так как он устраняет первопричину сбоя на стороне веб-сервера, делая сайт доступным для любых, даже самых старых клиентов. Проблема обычно заключается в том, что в конфигурационных файлах веб-сервера указан только основной сертификат домена, но не указана цепочка промежуточных сертификатов (Chain).
Рассмотрим, как исправить настройки для популярного веб-сервера Apache. Очень часто системные администраторы совершают ошибку и указывают параметры следующим образом (неправильный вариант):
SSLCertificateFile "/etc/letsencrypt/live/vitateka.ee/fullchain.pem"
SSLCertificateKeyFile "/etc/letsencrypt/live/vitateka.ee/privkey.pem"
При такой настройке Apache отдает клиенту усеченную цепочку. Чтобы исправить ситуацию, мы должны явно прописать все файлы сертификатов, включая цепочку доверия. Изменим конфигурационный файл виртуального хоста Apache следующим образом (правильный вариант):
SSLCertificateFile /etc/letsencrypt/live/vitateka.ee/cert.pem
SSLCertificateChainFile /etc/letsencrypt/live/vitateka.ee/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/vitateka.ee/privkey.pem
SSLCACertificateFile /etc/letsencrypt/live/vitateka.ee/chain.pem
Если на вашем сервере используется веб-сервер Nginx, убедитесь, что в директиве ssl_certificate указан путь именно к файлу fullchain.pem, который содержит в себе и сам сертификат вашего домена, и все промежуточные сертификаты Let's Encrypt, расположенные в правильном иерархическом порядке:
ssl_certificate /etc/letsencrypt/live/vitateka.ee/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/vitateka.ee/privkey.pem;
После внесения изменений обязательно перезапустите ваш веб-сервер (например, выполнив команду service apache2 restart или systemctl restart nginx) и заново запустите проверку через openssl. Ошибка unable to get local issuer certificate должна исчезнуть.
Если у нас нет доступа к настройкам веб-сервера сайта (например, сайт принадлежит стороннему контрагенту), мы можем заставить платформу 1С доверять новому сертификату. Для этого необходимо обновить файл корневых сертификатов cacert.pem, который поставляется вместе с платформой 1С.
Разберем этот процесс по шагам, так как простое скачивание файла часто не помогает из-за неочевидных нюансов работы платформы:
&НаСервере или имя модуля CMS1C_ПроцедурыОбменаССайтомСервер), то обновлять файл необходимо на сервере приложений 1С:Предприятие, а не на локальном компьютере пользователя!C:\Program Files\1cv82\8.2.XX.YYY\bin\ (или C:\Program Files (x86)\1cv82\8.2.XX.YYY\bin\ для 32-битной версии).cacert.pem. Это обычный текстовый файл, содержащий базу доверенных корневых сертификатов в формате PEM.cacert.pem) или вручную скопируем текстовое содержимое нового корневого сертификата ISRG Root X1 с сайта Let's Encrypt и вставим его в самый конец нашего файла cacert.pem.cacert.pem ровно один раз при инициализации первого интернет-соединения рабочим процессом сервера 1С (rphost.exe) и затем кэширует их в оперативной памяти. Любые изменения в файле не вступят в силу, пока вы не выполните полную перезагрузку службы сервера «1С:Предприятие»! Перезапустите службу через оснастку services.msc.Если веб-сервер сайта настроен корректно, цепочка сертификатов полная, но 1С все равно выдает ошибку, проблема может заключаться в несовместимости версий протокола TLS. Платформа 1С 8.2 при работе под управлением старых операционных систем Windows (например, Windows Server 2008 R2 или Windows 7) по умолчанию использует системные настройки библиотеки WinHTTP, в которой протокол TLS 1.2 может быть отключен.
Проанализируем ситуацию и включим поддержку TLS 1.2 через системный реестр Windows:
Win + R, введите regedit и нажмите Enter).HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttpDefaultSecureProtocols.0x00000800 в шестнадцатеричной системе исчисления (что соответствует включению протокола TLS 1.2 по умолчанию).HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp DefaultSecureProtocols со значением 0x00000800.Если нам запрещено вносить глобальные изменения в настройки операционной системы или менять файлы в каталоге платформы 1С, мы можем решить проблему локально, изменив код интеграции в самой конфигурации. Вместо стандартного объекта 1С HTTPСоединение, мы можем задействовать системный COM-объект Windows WinHttp.WinHttpRequest.5.1.
Данный объект работает через встроенный сетевой стек операционной системы, который автоматически обновляется и поддерживает все современные протоколы шифрования и актуальные корневые сертификаты Windows. Кроме того, этот объект позволяет гибко управлять проверкой SSL-сертификатов, вплоть до полного отключения их валидации (что крайне полезно, если нужно быстро восстановить обмен, пренебрегая строгими правилами безопасности).
Посмотрим на пример кода, который заменяет стандартный вызов метода отправки запроса в 1С:
// Создаем экземпляр системного COM-объекта
HTTPЗапрос = Новый COMОбъект("WinHttp.WinHttpRequest.5.1");
// Инициализируем POST-запрос к нашему скрипту обмена
URL_Адрес_Сайта = "https://vitateka.ee/1c.php";
HTTPЗапрос.Open("POST", URL_Адрес_Сайта, Ложь);
// Устанавливаем необходимые заголовки запроса
HTTPЗапрос.SetRequestHeader("Content-Type", "application/x-www-form-urlencoded");
// Настройка флагов безопасности (опция 4 - WinHttpRequestOption_SslErrorIgnoreFlags)
// Значение 13056 (0x3300) указывает объекту игнорировать абсолютно любые ошибки SSL-сертификатов
// (истекший срок действия, несовпадение имени узла, недоверенный центр сертификации)
HTTPЗапрос.Option(4, 13056);
// Формируем тело запроса с параметрами обмена
ДанныеЗапроса = "mode=query&type=catalog";
Попытка
// Отправляем запрос на веб-сервер
HTTPЗапрос.Send(ДанныеЗапроса);
// Получаем ответ в виде строки
СтрокаОтвета = HTTPЗапрос.ResponseText;
Сообщить("Обмен успешно выполнен. Ответ сервера: " + СтрокаОтвета);
Исключение
Сообщить("Ошибка при отправке запроса через COM: " + ОписаниеОшибки(), СтатусСообщения.Важное);
КонецПопытки;
Этот способ гарантирует 100% работоспособность обмена независимо от версии платформы 1С 8.2, поскольку процесс шифрования полностью делегируется операционной системе Windows.
Еще один профессиональный способ обхода ограничений старой платформы 1С — использование стороннего прокси-клиента для шифрования трафика. Самым популярным и надежным решением является бесплатная утилита stunnel.
Идея метода заключается в следующем:
stunnel локально на сервере, где работает 1С.http://localhost:8080).stunnel автоматически перенаправляет на внешний защищенный адрес нашего сайта по протоколу HTTPS (https://vitateka.ee:443). Она самостоятельно производит шифрование трафика, проверку всех сертификатов Let's Encrypt и согласование протоколов TLS на уровне современной операционной системы.
// Подключаемся к локальному прокси-туннелю по обычному протоколу HTTP
Соединение = Новый HTTPСоединение("localhost", 8080);
// Отправляем запрос, который будет автоматически зашифрован утилитой stunnel
Ответ = Соединение.Получить(Новый HTTPЗапрос("/1c.php"));
Этот подход позволяет полностью изолировать логику 1С от проблем с сетевыми библиотеками и шифрованием, переложив эту задачу на специализированное системное ПО.
Мы подробно разобрали пять различных способов решения проблемы с подключением 1С 8.2 к сайту по протоколу HTTPS. Выбор конкретного метода зависит от вашей инфраструктуры:
chain.pem в Apache/Nginx). Это исправит проблему раз и навсегда для всех пользователей.WinHttpRequest) или Решение 2 (обновление файла cacert.pem с обязательным перезапуском службы сервера 1С).