Рассмотрим достаточно распространенную ситуацию: при попытке войти в Личный кабинет налогоплательщика (ЛК ФНС) непосредственно из интерфейса 1С возникает ошибка, из-за которой невозможно выбрать нужный сертификат электронной подписи. Система видит сертификаты, но один из них неактивен, и появляется сообщение «невозможно выбрать сертификат». Особенно часто такая проблема встречается в сложных инфраструктурах, например, при работе пользователей на терминальном сервере через Citrix или RDP, где и 1С, и КриптоПро установлены на сервере.
Проанализируем ситуацию, когда все предварительные диагностики подключения проходят успешно, все индикаторы горят зеленым, но на финальном шаге — выборе ключа — возникает затык. Разберем по шагам, что проверить и как исправить эту проблему.
Как показывает практика, самая частая причина — это человеческий фактор. Особенно актуально, если у пользователя (например, бухгалтера) есть несколько действующих сертификатов: на разные организации, от разных удостоверяющих центров (УЦ) или для разных целей (торги, отчетность).
В обсуждаемой на форуме ситуации итоговое решение оказалось именно таким. Пользователь пытался войти в ЛК с сертификатом от УЦ «Тензор», тогда как для доступа требовался ключ, выданный УЦ «Калуга Астрал». Система корректно отображала оба сертификата, но позволяла выбрать только релевантный.
Что нужно сделать:
Внимательно посмотрите на список сертификатов, предлагаемых для выбора.
Проверьте реквизиты каждого сертификата: на какую организацию (ИНН/КПП) он выдан и какой удостоверяющий центр является издателем.
Убедитесь, что вы пытаетесь использовать именно тот сертификат, который предназначен для входа в ЛК ФНС для данной организации.
Этот простой шаг может сэкономить массу времени на более сложной технической диагностике.
Даже если вы работаете из 1С, для открытия личных кабинетов программа использует компоненты системного браузера, чаще всего — Internet Explorer (или Edge в режиме совместимости с IE). Накопленные данные о прошлых сессиях или неверные настройки безопасности могут блокировать корректную работу.
Выполним следующие действия:
Очистка SSL-состояния. Это одна из самых эффективных процедур. SSL-кэш хранит информацию о предыдущих защищенных сеансах, и если в нем содержатся устаревшие или некорректные данные, это может мешать установлению нового соединения.
Откройте «Панель управления» Windows.
Найдите и откройте «Свойства браузера» (или «Свойства обозревателя»).
Перейдите на вкладку «Содержание».
Нажмите кнопку «Очистить SSL».
Полная очистка кэша браузера. Вместе с SSL-кэшем стоит очистить и остальные временные данные.
В тех же «Свойствах браузера» на вкладке «Общие» найдите раздел «История просмотра» и нажмите кнопку «Удалить…».
В открывшемся окне отметьте пункты «Временные файлы Интернета и веб-сайтов», «Файлы cookie и данные веб-сайтов», «Журнал» и нажмите «Удалить».
Настройка надежных узлов. Для корректной работы сайтов госорганов их адреса необходимо добавить в зону «Надежные сайты» с пониженным уровнем безопасности.
В «Свойствах браузера» перейдите на вкладку «Безопасность».
Выделите зону «Надежные сайты» и нажмите кнопку «Сайты».
Снимите галочку «Для всех сайтов этой зоны требуется проверка серверов (https:)».
Добавьте в список следующие адреса: *.nalog.ru и *.service.nalog.ru.
Убедитесь, что для этой зоны разрешено использование элементов ActiveX.
После выполнения этих шагов перезапустите 1С и попробуйте войти в личный кабинет снова.
Если предыдущие шаги не помогли, проблема может быть в самом сертификате или его окружении, даже если он виден в системе. Простого наличия сертификата в хранилище недостаточно — он должен быть полностью исправен и иметь валидную цепочку доверия.
Проверим цепочку сертификации:
Запустите программу КриптоПро CSP.
Перейдите на вкладку «Сервис» и нажмите кнопку «Просмотреть сертификаты в контейнере…».
В открывшемся окне нажмите «Обзор», выберите проблемный контейнер закрытого ключа и нажмите «ОК», затем «Далее».
В окне с данными о сертификате нажмите кнопку «Свойства».
Перейдите на вкладку «Путь сертификации».
Здесь вы увидите дерево сертификатов: от вашего личного до корневого сертификата УЦ. В поле «Состояние сертификата» должна быть надпись: «Этот сертификат действителен». Если там указана ошибка (например, «Сертификат содержит недействительную цифровую подпись» или «Не удалось построить цепочку сертификатов»), значит, проблема именно здесь.
Причины проблем с цепочкой и их решение:
Отсутствуют или устарели промежуточные/корневые сертификаты. Удостоверяющие центры периодически обновляют свои служебные сертификаты. Необходимо скачать актуальный корневой и промежуточные сертификаты с официального сайта вашего УЦ и установить их. Корневые устанавливаются в хранилище «Доверенные корневые центры сертификации», а промежуточные — в «Промежуточные центры сертификации».
Конфликт сертификатов. Иногда в системе могут находиться старые, истекшие промежуточные сертификаты от того же издателя, которые мешают построению правильной цепочки. Удалите их из хранилища «Промежуточные центры сертификации» через оснастку certmgr.msc.
Работа в удаленной сессии накладывает свои особенности. Проблема может быть не в сертификате или браузере, а в настройках удаленного доступа или профиля пользователя.
Права на контейнер. Если сертификаты устанавливаются в реестр сервера для каждого пользователя, убедитесь, что у проблемного пользователя есть права на чтение закрытого ключа. Это можно проверить через КриптоПро CSP на вкладке «Сервис».
Проблемы с профилем пользователя. Профили в Citrix или RDP могут повреждаться. Один из способов диагностики — попробовать войти в ЛК под новой, тестовой учетной записью на том же сервере. Если под ней все работает, значит, проблема в профиле основного пользователя. Иногда помогает его пересоздание.
Проброс устройств. Если ключ используется на токене (Рутокен, JaCarta), убедитесь, что он корректно пробрасывается с локальной машины пользователя в удаленную сессию и что на сервере установлены все необходимые драйверы.
Подводя итог, можно сказать, что ошибка «невозможно выбрать сертификат» — комплексная. Начинать диагностику стоит с самых простых и вероятных причин — правильности выбора самого сертификата и базовой гигиены браузера. Если это не помогает, следует переходить к более глубокому анализу цепочки сертификации и учитывать особенности вашей IT-инфраструктуры.