Как исправить ошибку «Удаленный узел не прошел проверку» при заполнении контрагента по ИНН в 1С?

← На главную

При работе в конфигурации 1С:Управление производственным предприятием (УПП) или других решениях на платформе 1С:Предприятие 8 пользователи часто сталкиваются с неприятной ситуацией. При попытке создать нового контрагента и заполнить его данные по ИНН система выдает предупреждение: «Ошибка при работе с сервисом (подробнее см. Журнал регистрации)». При анализе Журнала регистрации обнаруживается техническая ошибка вызова конструктора WSОпределения по причине: При вызове веб-сервиса произошла ошибка. При создании описания сервиса произошла ошибка... Удаленный узел не прошел проверку.

В этой статье мы подробно разберем, почему возникает данная проблема, проанализируем механизмы работы платформы с защищенными SSL/TLS-соединениями и изучим пошаговые инструкции по полному восстановлению работоспособности сервиса автозаполнения.

Выясняем причину: почему возникает ошибка проверки узла?

Ошибка указывает на то, что платформа 1С при обращении к удаленному серверу сервиса (например, по адресу https://api.orgregister.1c.ru/orgregister/v7?wsdl) не смогла подтвердить подлинность SSL-сертификата безопасности веб-узла. Безопасное TLS-соединение отклоняется, так как цепочка доверия к удостоверяющему центру (CA), который выдал сертификат для домена 1С, не может быть проверена на стороне вашего компьютера или сервера.

Логика валидации SSL-сертификатов платформой 1С зависит от используемой версии платформы и установленного режима совместимости конфигурации:

Режим совместимости 8.3.7 и ниже (включая 8.2.13): В этих режимах платформа 1С полностью игнорирует системное хранилище сертификатов операционной системы Windows или Linux. Для проверки доверенных узлов она использует собственный встроенный файл-контейнер корневых сертификатов — cacert.pem, расположенный в каталоге установки платформы. Если корневой сертификат удаленного ресурса изменился (как это произошло с переходом сервисов 1С на УЦ DigiCert), а файл cacert.pem остался старым, 1С заблокирует соединение.
Платформа 8.3.8 и выше без режима совместимости: Платформа начинает использовать системное хранилище сертификатов операционной системы. Однако и здесь могут возникнуть проблемы, если заблокирован доступ к серверам проверки отзывов (CRL/OCSP) или если используются новые отечественные сертификаты Минцифры РФ, отсутствующие в стандартной поставке ОС.

Рассмотрим детально решения для каждого из возможных сценариев.

Решение 1: Обновление файла cacert.pem для устаревших платформ и режимов совместимости

Если ваша конфигурация работает в режиме совместимости с версией 8.3.7 или более ранней (например, в УПП часто установлен режим совместимости 8.2.13), вам необходимо обновить файл cacert.pem на всех компьютерах, где выполняется код (на клиентских рабочих местах при файловом варианте работы или на сервере приложений 1С при клиент-серверной архитектуре).

Файл cacert.pem располагается по следующему пути на диске:

Для 32-битных версий платформы: C:\Program Files (x86)\1cv8\[ВерсияПлатформы]\bin\cacert.pem

Для 64-битных версий платформы: C:\Program Files\1cv8\[ВерсияПлатформы]\bin\cacert.pem

Мы можем обновить этот файл тремя способами:

Способ А. Полная автоматическая замена файла

Этот способ предпочтителен, если вы ранее не редактировали этот файл вручную и не вносили туда сторонние сертификаты других веб-сервисов:

Завершите работу всех запущенных сеансов 1С:Предприятия на компьютере.
Скачайте официальный архив с обновленным файлом сертификатов с портала информационно-технологического сопровождения (ИТС) 1С.
Распакуйте скачанный архив и замените им оригинальный файл cacert.pem в папке bin вашей версии платформы. Обратите внимание, что для перезаписи файлов в системной папке Program Files потребуются права администратора Windows.

Способ Б. Использование специальной обработки 1С

Если база файловая и ручное обновление на компьютерах пользователей затруднено, можно использовать специализированную обработку автоматического обновления сертификатов:

Скачайте обработку обновления сертификатов с портала ИТС (архив с файлом расширения epf).
Откройте обработку в режиме «1С:Предприятие» на проблемном компьютере под учетной записью с правами администратора операционной системы.
Нажмите кнопку выполнения в интерфейсе обработки. Программа самостоятельно найдет активный каталог установки платформы и добавит в конец файла cacert.pem необходимые строки с сертификатами DigiCert.

Способ В. Ручное редактирование файла cacert.pem

Если в вашем файле cacert.pem уже содержатся специфические настройки и сертификаты для интеграции с другими внешними API, перезаписывать его нельзя. Выполним добавление вручную:

Скачайте архив с текстовым содержимым сертификата DigiCert с портала ИТС 1С.
Откройте существующий файл cacert.pem в любом текстовом редакторе (например, Блокнот или Notepad++), предварительно запустив редактор от имени Администратора.
Перейдите в самый конец файла, добавьте пустую строку и скопируйте туда весь текстовый блок нового корневого сертификата (включая маркеры начала и конца сертификата). Пример структуры добавляемого блока:

Сохраните изменения в файле и перезапустите 1С:Предприятие.

Решение 2: Переход с устаревшей версии API v7 (Актуально для современных реалий)

Важно подчеркнуть критическую деталь: начиная с февраля-апреля 2022 года фирма «1С» полностью прекратила поддержку и отключила старый шлюз данных SOAP API, работавший по адресу https://api.orgregister.1c.ru/orgregister/v7?wsdl.

Поэтому, если вы используете старую конфигурацию УПП (как в сообщении автора темы) и пытаетесь обращаться к версии v7, обновление сертификатов может не дать результата, так как сам сервер v7 больше не функционирует. В современных реалиях необходимо перенаправить запросы на новый REST API.

Рассмотрим, как решить эту задачу:

Обновление конфигурации: Наиболее правильный путь — обновить вашу конфигурацию до актуального релиза. В новые релизы встроена современная версия Библиотеки интернет-поддержки (БИП) не ниже 2.2.3 (рекомендуется 2.5.1 и выше), которая по умолчанию использует REST-интерфейс по новым защищенным адресам.
Ручная адаптация кода интеграции: Если ваша конфигурация находится на жесткой поддержке, сильно кастомизирована и ее невозможно обновить, вам потребуется привлечь программиста 1С для изменения кода интеграции. В общих модулях, отвечающих за работу с сервисом «1С:Контрагент», необходимо заменить старые SOAP-вызовы через WSОпределения к версии v7 на прямые HTTP-запросы к новому REST-сервису по адресу https://api.orgregister.1c.ru/orgregister/v1 или воспользоваться внешней обработкой заполнения реквизитов по ИНН, которая работает через сторонние API (например, DaData или обновленные механизмы 1С).

Решение 3: Очистка кэша программных интерфейсов (XDTO)

Иногда после обновления платформы или замены конфигурационных файлов 1С продолжает обращаться по старым путям или хранить некорректную структуру описания веб-сервисов. Это происходит из-за агрессивного кэширования схем XDTO платформой.

Выполним процедуру очистки кэша программных интерфейсов:

Запустите базу 1С в режиме «1С:Предприятие» под пользователем с полными правами.
Перейдите в меню «Функции для технического специалиста» (в старых интерфейсах — «Все функции»).
Найдите и откройте регистр сведений Кэш программных интерфейсов.
Найдите в списке записи, связанные с адресом сервиса контрагентов (например, содержащие в поле адреса api.orgregister.1c.ru).
Выделите эти записи и полностью удалите их из регистра.
Перезапустите сеанс работы с базой данных 1С. При первом обращении к заполнению контрагента система заново обратится к веб-сервису и запишет свежие корректные схемы.

Решение 4: Добавление отечественных сертификатов Минцифры РФ

С 2022 года многие российские сервисы начали переводить свои веб-ресурсы на сертификаты безопасности, выданные Национальным удостоверяющим центром (НУЦ Минцифры России). Данные корневые сертификаты отсутствуют по умолчанию во многих операционных системах Windows и Linux, а также во встроенном хранилище старых платформ 1С.

Для исправления этой проблемы на современных системах без режима совместимости:

Скачайте актуальные корневые и выпускающие сертификаты Минцифры РФ с официального портала Госуслуг.
В операционной системе Windows установите скачанные файлы сертификатов в хранилище «Доверенные корневые центры сертификации» (для локального компьютера и для учетной записи, под которой запускается серверная служба 1С ragent).
Если база работает под управлением ОС Linux (например, Ubuntu, CentOS), установите сертификаты Минцифры в общесистемное хранилище с помощью утилит администрирования операционной системы (например, скопируйте их в папку /usr/local/share/ca-certificates/ и выполните команду sudo update-ca-certificates).

Решение 5: Настройка проверки отзывов сертификатов (CRL и OCSP)

Начиная с версии платформы 8.3.10, логика проверки безопасности защищенных соединений существенно усложнилась. Теперь платформа 1С при установке SSL/TLS-соединения в обязательном порядке пытается проверить, не отозван ли предъявленный сервером сертификат.

Для этого процесс платформы (клиентский сеанс или рабочий процесс сервера rphost) отправляет HTTP-запросы к серверам выдачи списков отзывов (CRL) или серверам протокола OCSP, указанным в свойствах сертификата.

Возможная проблема: Если сервер 1С находится в закрытом корпоративном контуре без прямого доступа к интернету (или доступ ограничен строгими правилами брандмауэра), запрос на проверку отзыва зависнет по таймауту, и платформа выбросит ошибку Удаленный узел не прошел проверку.

Для устранения этой сетевой проблемы выполните следующие действия:

Убедитесь, что для учетной записи, от имени которой запущена служба сервера 1С (обычно это системный пользователь USR1CV8), разрешен исходящий сетевой доступ по портам 80 (HTTP) и 443 (HTTPS) к адресам валидации сертификатов.
Если в вашей локальной сети доступ к внешним веб-ресурсам осуществляется исключительно через прокси-сервер, обязательно пропишите параметры авторизации прокси в файле конфигурации интернет-соединений 1С inetcfg.xml. Этот файл располагается в каталоге conf установленной платформы (например, C:\Program Files\1cv8\conf\inetcfg.xml). Пример заполнения файла конфигурации прокси:


<config xmlns="http://v8.1c.ru/edi/edi_stnd/settings">
    <proxy
        use="true"
        server="192.168.1.100"
        port="8080"
        bypassOnLocal="true">
        <user>Domain\User1C</user>
        <password>StrongPassword123</password>
    </proxy>
</config>

Как произвести быструю диагностику?

Если после выполнения всех инструкций ошибка продолжает возникать, проведите простой диагностический тест:

Зайдите непосредственно на тот компьютер, где происходит выполнение кода проверки ИНН. Напоминаем: в клиент-серверном варианте код проверки выполняется на сервере приложений 1С, поэтому диагностику нужно проводить именно на сервере под учетной записью службы 1С.
Откройте стандартный интернет-браузер и введите в адресную строку URL-адрес вызываемого веб-сервиса (например, https://api.orgregister.1c.ru/orgregister/v1).
Если браузер выдает предупреждение о небезопасном сертификате или блокирует страницу — проблема локализована в операционной системе. Проверьте системное время и дату на сервере (сдвиг времени часто ломает валидацию SSL), настройки антивируса (многие корпоративные антивирусы подменяют SSL-сертификаты для сканирования трафика) или обновите корневые сертификаты вашей ОС.
Если в браузере страница открывается без ошибок безопасности, но 1С продолжает выдавать ошибку — проблема кроется исключительно во внутреннем кэше XDTO или устаревшем файле cacert.pem конкретной версии платформы 1С.

Таким образом, своевременное обновление сертификатов безопасности платформы, регулярная очистка кэша программных интерфейсов и перевод интеграции на современные REST API позволят вам раз и навсегда избавиться от сбоев при автоматическом получении данных контрагентов.