Сертификат отозван при подписании документа: причины и что делать
Ошибка «Сертификат отозван» указывает на прекращение действия сертификата удостоверяющим центром. Разбираем, как проверить статус сертификата, по какой причине его могли отозвать и что делать, чтобы восстановить подписание документов.
Ошибка «Сертификат отозван» указывает на прекращение действия сертификата удостоверяющим центром (УЦ). Если отзыв подтвержден, такой сертификат больше не годится для подписи и входа в сервисы. Исправить это настройками КриптоПро или переустановкой программы нельзя: сертификат нужно заменить новым. Диагностика сводится к трем вопросам: действительно ли сертификат отозван, по какой причине и какой новый сертификат получить.
Что означает отзыв сертификата
При отзыве УЦ вносит запись в реестр отозванных сертификатов (список отозванных сертификатов, СОС). При проверке подписи учитывается статус сертификата. Попытка подписать документ или войти в личный кабинет с отозванным сертификатом заканчивается отказом.
Отзыв отличается от истечения срока действия:
| Признак | Отзыв | Истечение срока |
|---|---|---|
| Когда происходит | До окончания срока, в том числе при перевыпуске | В дату, указанную в самом сертификате |
| Кто инициирует | Владелец, УЦ, суд или система при перевыпуске | Наступает автоматически |
| Можно ли предвидеть | Зависит от причины: при заявлении владельца или перевыпуске отзыв ожидаем | Да, дата видна в свойствах сертификата |
| Что делать | Выяснить причину, получить новый сертификат | Выпустить новый сертификат по плановой процедуре |
Если срок еще не истек, а система сообщает об отзыве, проверьте статус по серийному номеру: дата окончания не подтверждает, что сертификат продолжает действовать.
Почему сертификат отозван
Причины делятся на три группы: инициатива владельца, решение УЦ и перевыпуск.
По заявлению владельца. Поводом для обращения в УЦ могут стать потеря токена, компрометация пароля или закрытого ключа, увольнение сотрудника, использовавшего подпись в компании. После заявления УЦ прекращает действие сертификата. Если перед ошибкой подавали заявление об отзыве, уточните в УЦ статус именно того сертификата, который выбираете для подписания.
По решению УЦ. УЦ вправе аннулировать сертификат без заявления, если:
- в заявлении на выпуск обнаружены недостоверные сведения;
- нарушена конфиденциальность ключа УЦ;
- суд признал сертификат недействительным.
Отдельный случай — прекращение работы или лишение аккредитации самого УЦ. В такой ситуации выясните статус конкретного сертификата: изменение статуса центра не следует автоматически приравнивать к отзыву каждого выданного им сертификата.
При перевыпуске. Если сертификат перевыпускается удаленно через личный кабинет ФНС, старый аннулируется автоматически. Поэтому после перевыпуска старый сертификат в списке может оказаться отозванным, и ошибка появляется, когда программа продолжает предлагать именно его. Если сообщение относится к новому сертификату, проверьте его статус отдельно и обратитесь в УЦ за объяснением причины.
Как проверить статус сертификата
Сначала убедитесь, что вы подписываете именно тем сертификатом, который собирались использовать. На компьютере их часто несколько: старый, новый, сертификат другого сотрудника.
Способы проверки:
| Способ | Где | Что понадобится |
|---|---|---|
| Реестр УЦ | Сайт удостоверяющего центра, выдавшего сертификат | Серийный номер сертификата |
| Госуслуги | Раздел «Электронная подпись» | Номер сертификата или СНИЛС |
| КриптоПро CSP | Оснастка «Сертификаты» | Выбрать сертификат в хранилище |
| Сервис проверки ФНС | Сервис ФНС для проверки сертификатов | Серийный номер сертификата |
Для усиленной неквалифицированной подписи, полученной в приложении «Госключ», статус смотрят в реестре по серийному номеру сертификата. Для усиленной квалифицированной подписи (УКЭП) — в сервисе федерального органа в сфере использования электронной подписи.
Проверка через КриптоПро CSP
- Откройте КриптоПро CSP. Способ запуска зависит от версии Windows.
- Перейдите на вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере».
- Нажмите «Обзор», выберите контейнер закрытого ключа (обычно он назван по имени владельца или организации) и нажмите «Далее».
- Откройте сертификат и посмотрите срок действия и серийный номер.
- Проверьте серийный номер в реестре УЦ или в сервисе проверки ФНС.
Серийный номер можно скопировать и в свойствах сертификата в оснастке «Сертификаты» на компьютере.
Что блокируется при отзыве
- Личный кабинет ФНС. Авторизация с отозванным сертификатом отклоняется. Для входа по электронной подписи выберите действующий сертификат.
- Госуслуги. С отозванным сертификатом недоступны вход по электронной подписи и операции, для которых требуется действующая ЭП. Это не означает блокировку всех способов входа в учетную запись.
- СФР и Росалкогольрегулирование. Отозванный сертификат нельзя использовать для подписания новой отчетности.
- ЭДО. Новая подпись с отозванным сертификатом не проходит проверку у контрагента. Документы, подписанные до отзыва, проверяют с учетом момента подписания.
Что делать, если сертификат отозван
- Убедитесь, что отозван именно используемый сертификат: сверьте серийный номер в реестре УЦ или сервисе ФНС.
- Выясните причину. Обратитесь в УЦ, выдавший сертификат: там подтвердят основание отзыва и дату. Если это перевыпуск, выберите новый сертификат и проверьте его статус.
- Если действующего сертификата нет, получите новый. Подтвержденно отозванный сертификат заменяют новым.
- Установите новый сертификат в хранилище КриптоПро CSP и проверьте его статус сразу после получения.
- Выберите новый сертификат в сервисах, где использовался старый; обновите привязку, если она предусмотрена сервисом.
- Повторите подписание документов, если предыдущая попытка завершилась отказом. Ранее успешно подписанные документы сначала проверьте отдельно.
Получение нового сертификата
За новым сертификатом обратитесь в УЦ ФНС или аккредитованный УЦ, который выпускает сертификаты для вашей категории владельцев. Для обращения в ФНС подготовьте:
- запись на прием, если доступный вам порядок выпуска предполагает личное обращение;
- паспорт и СНИЛС;
- USB-носитель (токен).
Возможность удаленного выпуска зависит от доступного способа идентификации. Отозванный сертификат уже не подходит для входа по электронной подписи. Если через личный кабинет продолжить выпуск не удается, обратитесь в ФНС за получением нового сертификата; переустановка КриптоПро не восстановит возможность входа по старому сертификату.
При удаленном перевыпуске старый сертификат аннулируется автоматически, поэтому сразу после выпуска проверьте статус нового сертификата и возможность подписания. Если возникли технические сложности, обратитесь в поддержку ФНС или УЦ.
Если отозван сертификат только на Госуслугах
Если сообщение появляется только на портале, а другие системы принимают сертификат, сначала сопоставьте выбранные сертификаты и проверьте статус в УЦ. Успешная работа в другом сервисе не заменяет эту проверку.
- Сверьте серийный номер сертификата на Госуслугах с номером проверенного сертификата.
- Если уже выпущен новый действующий сертификат, обновите его привязку вместо старого.
- Если УЦ подтверждает действующий статус, но портал продолжает выдавать ошибку, обратитесь в поддержку Госуслуг. Для входа используйте логин и пароль, если этот способ доступен для вашей учетной записи.
Подпись из приложения «Госключ» используйте, если нужный сервис ее поддерживает и она подходит для выполняемой операции.
Если отчетность нужно сдать срочно
Обратитесь в УЦ для выпуска нового сертификата. Если выпуск занимает время, сообщите оператору сервиса о технических сложностях и уточните доступный способ подачи документов с действующей подписью. Сохраните сообщение об ошибке и результат проверки статуса для обращения в поддержку.
Что с документами, подписанными до отзыва
При проверке ранее подписанных документов учитывают статус сертификата на момент подписания. Метка времени помогает подтвердить этот момент и сопоставить его с датой отзыва. Наличие штампа времени не заменяет проверку самой подписи: нужно установить, что сертификат действовал в подтвержденный момент подписания.
Без метки времени подтвердить момент подписания сложнее, и контрагент может оспорить подпись. Вопрос о повторном подписании решайте после проверки конкретного документа, а не только по текущему статусу сертификата. Новые документы отозванным сертификатом подписывать нельзя в любом случае.
Как не получить отзыв неожиданно
- Заведите напоминание до окончания срока действия сертификата, чтобы успеть пройти перевыпуск.
- Не передавайте токен третьим лицам. Пароль доступа к носителю должен знать только владелец; при подозрении на компрометацию закрытого ключа обратитесь в УЦ для отзыва сертификата.
- При увольнении сотрудника решите с УЦ вопрос об отзыве сертификата, использовавшегося для работы в компании.
- После перевыпуска проверяйте статус нового сертификата и убирайте старый из выбора в программах.
- Срок действия и статус сертификата должен отслеживать тот, кто использует подпись; закрепите это за конкретным сотрудником.
Ответы на частые вопросы
Можно ли восстановить отозванный сертификат?
Подтвережденно отозванный сертификат заменяют новым. Настройки КриптоПро и повторная установка сертификата не отменяют запись об отзыве в УЦ. Обратитесь за выпуском нового сертификата, затем установите его и выберите в используемых сервисах. Не удаляйте старый контейнер только из-за сообщения об отзыве: это не способ восстановления сертификата.
Сертификат отозван, хотя я ничего не отзывал. Почему так?
Отзыв возможен без вашего нового заявления: УЦ мог обнаружить недостоверные данные в заявлении на выпуск, либо старый сертификат был автоматически аннулирован при удаленном перевыпуске через личный кабинет ФНС. Сначала сверьте серийный номер, чтобы исключить выбор старого сертификата. Точное основание и дату отзыва уточните в УЦ, выдавшем сертификат.
Как отличить отзыв от истечения срока действия?
Откройте сертификат и посмотрите дату окончания. Если она прошла, срок действия истек, но это не исключает отдельного отзыва. Если дата в будущем, сертификат все равно мог быть отозван раньше. Для проверки отзыва сверьте серийный номер в реестре УЦ или сервисе ФНС: срок действия и текущий статус нужно проверять раздельно.
Как подписывать документы, пока нет нового сертификата?
Подписывать отозванным сертификатом нельзя. Если у организации есть другой действующий сертификат, например у руководителя или другого уполномоченного сотрудника, документы можно подписать им при наличии полномочий. Если действующего сертификата нет, дождитесь выпуска нового в УЦ и подпишите документы после установки.
Что делать, если новый сертификат тоже отозвали?
Сначала убедитесь, что сообщение относится к новому сертификату: сравните его серийный номер с выбранным в программе и проверьте статус в УЦ. Если отзыв подтвержден, уточните его основание и данные, которые нужно исправить перед новым выпуском. Способ получения следующего сертификата согласуйте с УЦ; повторный отзыв не означает, что во всех случаях нужен только очный выпуск.
Что делать, если УЦ, выдавший сертификат, ликвидирован или лишен аккредитации?
Сначала установите статус конкретного сертификата: прекращение работы или изменение аккредитации центра не следует автоматически считать отзывом всех его сертификатов. Если ваш сертификат отозван, обратитесь за новым в УЦ, выпускающий сертификаты для вашей категории владельцев. Ранее подписанные документы проверяйте отдельно, с учетом момента подписания и статуса сертификата на тот момент.
Нужно ли переустанавливать КриптоПро, если сертификат отозван?
Нет. Переустановка программы статус сертификата не меняет, так как отзыв зафиксирован в реестре УЦ. Сначала проверьте статус по серийному номеру и убедитесь, что причина именно в отзыве, а не в выборе не того сертификата из списка.
