Ошибка «Не удается построить цепочку сертификатов»: причины и решение в КриптоПро

Ошибка «Не удается построить цепочку сертификатов для доверенного корневого центра» обычно появляется при работе с электронной подписью в КриптоПро, на Госуслугах, электронных торговых площадках, в ЭДО, государственных информационных системах и других сервисах.

Часто рядом отображается код: 0x800B010A

На первый взгляд кажется, что проблема находится в самой электронной подписи. На практике закрытый ключ и личный сертификат могут быть полностью исправны. Ошибка означает, что система не смогла корректно пройти путь от сертификата владельца электронной подписи до доверенного корневого сертификата либо не смогла полноценно проверить эту цепочку.

Причины бывают разными:

• отсутствует промежуточный сертификат удостоверяющего центра;
• не установлен доверенный корневой сертификат;
• сертификаты УЦ установлены не в те хранилища;
• компьютер не может получить актуальный список отозванных сертификатов CRL;
• недоступен OCSP-сервис;
• один из сертификатов цепочки просрочен или отозван;
• неверно установлены дата и время;
• сертификаты установлены для другого пользователя Windows;
• после перевыпуска ЭП изменилась цепочка удостоверяющих центров.

Поэтому совет «просто установите корневой сертификат» помогает далеко не всегда.

Что такое цепочка сертификатов

Структура цепочки:

• сертификат владельца ЭП
• сертификат удостоверяющего центра
• промежуточный удостоверяющий центр (если используется)
• доверенный корневой удостоверяющий центр

При проверке система должна убедиться, что каждый сертификат:

• действительно выпущен вышестоящим УЦ
• находится в пределах срока действия
• не отозван
• корректно подписан
• используется по назначению
• приводит к корневому сертификату, которому компьютер доверяет

Чем эта ошибка отличается от проблемы с контейнером

Различие между двумя ситуациями:

• «Не найден контейнер закрытого ключа» — недоступен закрытый ключ
• «Не удается построить цепочку сертификатов» — найден личный сертификат, но проблема в проверке доверия и статуса

Переустанавливать Рутокен или перевыпускать ЭП обычно не требуется при ошибке цепочки.

Быстрая диагностика по коду ошибки

КриптоПро может показывать разные коды, связанные с проверкой сертификатов.

Указанные статусы приведены в документации КриптоПро SVS. Код значительно сужает поиск причины, поэтому при обращении в техническую поддержку отправляйте не только текст сообщения, но и шестнадцатеричный код.

Сначала проверьте цепочку через Инструменты КриптоПро

Самый полезный первый шаг — не скачивать сертификаты наугад, а посмотреть, какой именно элемент цепочки не проходит проверку.

Откройте:
Пуск → КРИПТО-ПРО → Инструменты КриптоПро

1. перейдите в раздел «Сертификаты»;
2. выберите проблемный личный сертификат;
3. откройте «Свойства сертификата»;
4. найдите сведения о цепочке и ее статусе.

В актуальных версиях КриптоПро там выводится подробный результат проверки каждого сертификата цепочки.

Это предпочтительнее, чем ориентироваться только на стандартную вкладку Windows «Путь сертификации».

Сотрудники КриптоПро отдельно обращают внимание: стандартное окно Windows может визуально показывать цепочку, хотя полноценная проверка, включая отзыв сертификатов, завершается ошибкой. Для детальной диагностики рекомендуется смотреть свойства сертификата через cptools — «Инструменты КриптоПро».

В Windows на вкладке «Путь сертификации» всё нормально, но сайт всё равно пишет ошибку

Такая ситуация вполне возможна.

Причина 1. Не установлен сертификат промежуточного удостоверяющего центра

Это одна из основных причин 0x800B010A.

Например, у системы есть:
ваш сертификат → ??? → корневой сертификат
Она знает, кто выпустил ваш сертификат, но сертификата этого УЦ в хранилище нет.

Цепочка обрывается.

Как определить

Откройте свойства личного сертификата и посмотрите поле: «Издатель» / Issuer

Затем изучите цепочку в Инструментах КриптоПро. Если отсутствует сертификат одного из вышестоящих УЦ, его необходимо установить.

Где взять сертификат

Скачивайте сертификаты удостоверяющего центра только из официальных источников:

• с сайта УЦ, выпустившего электронную подпись;
• с официального ресурса государственного удостоверяющего центра;
• из официальной системы доверия, указанной самим УЦ.

Например, ФНС публикует на своем сайте отдельный раздел с корневыми сертификатами УЦ и списками отозванных сертификатов.

Не скачивайте корневые сертификаты с форумов, файлообменников и случайных инструкций. Установка сертификата в доверенные корневые фактически означает, что компьютер начинает доверять сертификатам, построенным через этот корень.

Куда устанавливать промежуточный сертификат

В Windows для него предназначено хранилище:
Промежуточные центры сертификации → Сертификаты

Не следует помещать промежуточный сертификат в «Доверенные корневые центры сертификации» только ради исчезновения ошибки.

На форуме КриптоПро отдельно разбирался случай, когда сертификат УЦ был ошибочно установлен в корневое хранилище; правильная схема — корневой сертификат в доверенных корневых, сертификаты нижестоящих УЦ в промежуточных.

Причина 2. Не установлен доверенный корневой сертификат

Даже при наличии всех промежуточных сертификатов цепочка должна закончиться сертификатом, которому компьютер доверяет.

Если корневого сертификата нет, может возникнуть: 0x800B010A или 0x800B0109 в зависимости от конкретного состояния цепочки.

Как исправить

Получите актуальный корневой сертификат из официального источника и установите его в:
Доверенные корневые центры сертификации → Сертификаты

После установки заново проверьте личный сертификат в Инструментах КриптоПро.

Важное предупреждение

Не помещайте личный сертификат пользователя в доверенные корневые сертификаты.

Не следует также превращать промежуточный сертификат в доверенный корень ради того, чтобы Windows перестала показывать ошибку.

Нужно восстановить правильную цепочку, а не заставить систему безусловно доверять произвольному сертификату.

Причина 3. Корневой и промежуточный сертификаты установлены не туда

Иногда все необходимые файлы уже есть на компьютере, но система все равно не может нормально построить цепочку.

Проверьте расположение:

• Личный сертификат: Личное → Сертификаты
• Промежуточный УЦ: Промежуточные центры сертификации → Сертификаты
• Доверенный корневой УЦ: Доверенные корневые центры сертификации → Сертификаты

Неправильное размещение способно приводить к некорректному построению доверия.

После исправления желательно закрыть и повторно открыть приложение или браузер, где используется электронная подпись.

Причина 4. Не удается проверить отзыв сертификата

Это одна из причин, которую часто пропускают.

Предположим, что:

• личный сертификат установлен;
• промежуточный сертификат установлен;
• корневой сертификат установлен;
• Windows визуально показывает полную цепочку.

Но КриптоПро все равно сообщает об ошибке.

Проблема может находиться в проверке статуса отзыва.

Сертификат может быть действующим по сроку, но удостоверяющий центр мог прекратить его действие досрочно. Поэтому система должна проверить информацию об отзыве.

КриптоПро поддерживает два основных механизма:

• CRL — списки отозванных сертификатов;
• OCSP — онлайн-запрос о статусе конкретного сертификата.

Если получить эти сведения невозможно, полноценная проверка цепочки может завершиться ошибкой.

Ошибка 0x80092013: сервер отзыва недоступен

Если Инструменты КриптоПро показывают: «Невозможно проверить функцию отзыва, т.к. сервер отзыва сертификатов недоступен» и код: 0x80092013 — это уже не проблема отсутствующего корневого сертификата.

КриптоПро расшифровывает код как: CRYPT_E_REVOCATION_OFFLINE / OfflineRevocation — сервер проверки отзыва недоступен.

Почему это происходит

Возможные причины:

• компьютер не имеет доступа в интернет;
• адрес CRL заблокирован корпоративным прокси;
• доступ ограничивает межсетевой экран;
• сервер УЦ временно недоступен;
• используется устаревший адрес списка отзыва;
• после перевыпуска сертификата изменился УЦ и используется другой CRL;
• локально установлен устаревший CRL.

На практике именно недоступность актуальных списков отзыва может объяснить ситуацию, когда визуально вся цепочка есть, но реальная проверка не проходит. Такой сценарий неоднократно разбирался специалистами КриптоПро.

Как узнать адрес CRL

Откройте проблемный сертификат. Перейдите:
Состав → Точки распространения списка отзыва (CRL Distribution Points)

Внутри будут указаны адреса, с которых система пытается получить список отозванных сертификатов. Скопируйте адрес и попробуйте открыть его в браузере с этого же компьютера. Если файл CRL не загружается, проблема может быть сетевой.

Но проверять нужно не только CRL личного сертификата. В цепочке несколько сертификатов, и у промежуточного УЦ может быть собственный CRL.

То есть система должна проверить отзыв: личного сертификата → сертификата УЦ → других проверяемых сертификатов цепочки — за исключением тех случаев, где проверка конкретного корневого сертификата не требуется выбранной политикой.

Можно ли установить CRL вручную

Да. Если рабочее место находится в изолированной сети или автоматический доступ к адресу УЦ невозможен, актуальный список отзыва можно скачать из официального источника и установить локально.

Но это не идеальное постоянное решение. CRL имеет собственный срок актуальности. Сегодня вручную установленный список может быть действующим, а через некоторое время устареть — и ошибка появится снова.

Поэтому для обычного компьютера с доступом в интернет правильнее устранить причину, по которой КриптоПро не получает актуальный список автоматически. КриптоПро прямо предусматривает offline-проверку по локально установленному CRL и online-проверку через OCSP.

Не устанавливайте случайный CRL

Список отзыва должен соответствовать конкретному удостоверяющему центру, выпустившему проверяемый сертификат. После перевыпуска ЭП цепочка может измениться.

Например: старый сертификат был выпущен: УЦ №1, а новый: УЦ №2

Установка CRL старого УЦ не поможет новому сертификату.

На форуме КриптоПро отдельно описывался сценарий, когда после получения нового сертификата пользователь продолжал устанавливать списки отзыва от предыдущего сертификата УЦ. Всегда проверяйте адрес CRL непосредственно в свойствах проблемного сертификата.

Причина 5. Не работает OCSP

Если система проверяет статус сертификата онлайн через OCSP, должен быть доступен соответствующий сервер удостоверяющего центра.

OCSP отличается от CRL: CRL — скачивается список всех сертификатов, отозванных данным УЦ; OCSP — отправляется запрос о состоянии конкретного сертификата.

При использовании OCSP сетевые ограничения также могут приводить к невозможности подтвердить статус сертификата.

Проверьте в свойствах сертификата поля, связанные с доступом к информации УЦ — Authority Information Access.

Если рабочее место находится за корпоративным прокси или жестким firewall, убедитесь, что необходимые адреса УЦ доступны.

Причина 6. Устарел локально установленный CRL

Распространенный сценарий: вчера электронная подпись работала, сегодня появилась ошибка, хотя сертификаты никто не менял.

Одна из причин — закончился срок действия локально сохраненного списка отозванных сертификатов.

У CRL есть даты:

• This Update — когда список был опубликован;
• Next Update — до какого момента ожидается следующий список.

Если система не может скачать новый CRL после наступления Next Update, проверка может завершиться ошибкой.

Поэтому бессмысленно годами хранить один вручную скачанный файл списка отзыва. Нужно либо обновлять его, либо восстановить автоматический сетевой доступ к источнику.

Причина 7. Сертификат в цепочке просрочен

Проверяется не только срок личного сертификата владельца. Просроченным может оказаться один из сертификатов удостоверяющего центра.

КриптоПро использует код: 0x800B0101 для ситуации, когда срок действия требуемого сертификата истек либо еще не наступил.

Откройте свойства цепочки и проверьте даты каждого элемента, а не только своей КЭП.

При этом для проверки ранее созданной электронной подписи могут использоваться сведения о времени подписания и метке времени.

Поэтому ошибка при проверке исторического документа требует отдельного анализа и не всегда означает, что документ изначально был подписан недействительным сертификатом.

Причина 8. Сертификат отозван

Если удостоверяющий центр досрочно прекратил действие сертификата, КриптоПро может показать: 0x80092010 — сертификат отозван.

Переустановка корневых сертификатов здесь не поможет.

Нужно выяснить:

• какой именно сертификат цепочки отозван;
• когда состоялся отзыв;
• проверяется ли новая подпись или старый документ;
• известно ли достоверное время создания подписи.

Если отозван действующий личный сертификат и вы пытаетесь им подписать новый документ, необходимо получить новый сертификат.

Причина 9. Неверные дата и время на компьютере

Проверка сертификатов напрямую зависит от времени.

Если на компьютере установлена неправильная дата, например:

• текущий год выставлен неверно;
• часы существенно отстают;
• после сброса BIOS дата вернулась назад,

действующий сертификат может выглядеть как:

• еще не вступивший в действие;
• уже просроченный.

Проверьте: Параметры Windows → Время и язык → Дата и время и включите автоматическую синхронизацию.

Это особенно актуально для компьютеров, которые долго находились выключенными или имеют проблемы с батарейкой CMOS.

Причина 10. Сертификаты установлены для другого пользователя Windows

Windows имеет отдельные хранилища сертификатов. Например:

• сертификаты текущего пользователя;
• сертификаты локального компьютера.

Если настройку выполнял администратор под одной учетной записью, а бухгалтер работает под другой, нужный промежуточный сертификат или личная КЭП могут оказаться не там, где их ищет приложение.

Для просмотра хранилища текущего пользователя можно выполнить: certmgr.msc

Для управления сертификатами компьютера используется соответствующая оснастка MMC.

Этот сценарий особенно часто возникает:

• на терминальных серверах;
• на компьютерах с несколькими сотрудниками;
• при запуске программы как службы;
• после создания новой учетной записи Windows.

Если ошибка появляется только у одного пользователя, хотя на том же компьютере под другой учетной записью все работает, обязательно сравните хранилища сертификатов.

Причина 11. После перевыпуска электронной подписи изменилась цепочка

Еще один неочевидный сценарий. Старая КЭП работала без проблем. Вы получили новый сертификат на тот же Рутокен — и появляется 0x800B010A.

Это не обязательно ошибка нового сертификата. Новый сертификат мог быть выпущен:

• другим удостоверяющим центром;
• новым сертификатом того же УЦ;
• через другую промежуточную цепочку.

На компьютере при этом остались сертификаты только от старой инфраструктуры.

Как проверить

Сравните поле «Издатель» у старого и нового сертификатов. Затем откройте цепочку нового сертификата в Инструментах КриптоПро. Устанавливайте именно те промежуточные и корневые сертификаты, которые относятся к новой цепочке.

Причина 12. Windows показывает правильную цепочку, но браузер все равно выдает ошибку

Такое встречается регулярно.

Причина в том, что простое отображение сертификатов на вкладке «Путь сертификации» и полноценная проверка электронной подписи — не одно и то же.

При реальной проверке могут дополнительно анализироваться:

• CRL;
• OCSP;
• назначение сертификата;
• срок действия каждого элемента;
• параметры использования ключа;
• дополнительные политики.

КриптоПро прямо рекомендует смотреть детальный статус через Инструменты КриптоПро, а не делать вывод только по стандартному окну Windows.

Поэтому логика «Windows пишет, что сертификат действителен, значит цепочка точно исправна» не всегда верна для конкретной операции электронной подписи.

Как правильно установить сертификаты цепочки

Для Windows общий порядок следующий.

Шаг 1. Получите сертификаты

Скачайте необходимые сертификаты с официального сайта вашего удостоверяющего центра.

Шаг 2. Проверьте сам файл

Откройте сертификат и убедитесь, что:

• название УЦ ожидаемое;
• издатель соответствует цепочке;
• срок действия актуален;
• отпечаток соответствует сведениям официального источника, если он опубликован.

Шаг 3. Установите промежуточные сертификаты

Хранилище: Промежуточные центры сертификации

Шаг 4. Установите корневой сертификат

Хранилище: Доверенные корневые центры сертификации

Windows может показать предупреждение при добавлении нового доверенного корневого сертификата. Это нормальная мера безопасности. Подтверждайте установку только если уверены в происхождении сертификата.

Шаг 5. Повторно проверьте цепочку

Откройте Инструменты КриптоПро и снова посмотрите свойства личного сертификата. Если проблема была только в отсутствующем сертификате УЦ, цепочка должна построиться.

Если сертификаты установлены, но ошибка осталась

Дальше проверяйте статус отзыва.

Порядок такой:

1. откройте личный сертификат;
2. найдите CRL Distribution Points;
3. проверьте доступность ссылки;
4. повторите для промежуточных сертификатов;
5. посмотрите точный статус в Инструментах КриптоПро.

Если появляется 0x80092013, устанавливать дополнительные корневые сертификаты наугад уже не нужно. Нужно восстанавливать доступ к серверу отзыва либо устанавливать правильный актуальный CRL.

Проверка через certutil

Для более технической диагностики в Windows можно использовать системную команду:

certutil -verify certificate.cer

где certificate.cer — файл проблемного сертификата.

Сотрудники КриптоПро рекомендуют такой способ, если необходимо получить детальную информацию о статусе цепочки, а подходящей версии графических Инструментов КриптоПро нет.

Вывод может быть достаточно большим, поэтому прежде всего ищите:

• общий код ошибки;
• сведения о цепочке;
• dwErrorStatus;
• проблемы CRL;
• проблемы доверия;
• состояние отзыва.

Для обычного пользователя удобнее начинать с Инструментов КриптоПро.

Нужно ли переустанавливать КриптоПро

Обычно нет.

Если проблема находится в цепочке сертификатов, переустановка самого КриптоПро редко является первым правильным решением.

Сотрудник КриптоПро прямо отмечал при разборе ошибки цепочки, что переустановка или тем более переход на старую версию CSP не устраняет проблему, если причина находится в сертификатах или проверке их статуса.

Сначала проверьте:

• промежуточные сертификаты;
• доверенный корень;
• CRL;
• OCSP;
• срок действия;
• дату компьютера.

Переустановка CSP имеет смысл только после того, как диагностика действительно указывает на повреждение компонентов КриптоПро.

Не отключайте проверку отзыва просто ради устранения ошибки

Технически в некоторых системах можно изменить режим проверки статуса сертификатов.

Но для обычного рабочего места это плохой способ «починить» КЭП.

Проверка CRL или OCSP существует не случайно: сертификат может быть отозван после компрометации ключа, прекращения полномочий владельца или по другим основаниям.

КриптоПро SVS, например, отдельно предусматривает режимы проверки статуса через CRL и OCSP.

Если сервер отзыва недоступен, правильнее восстановить доступ к нему, а не просто перестать проверять отзыв.

Не устанавливайте все сертификаты подряд в доверенные корневые

Это еще одна опасная рекомендация из старых инструкций.

Хранилище «Доверенные корневые центры сертификации» имеет особое значение. Сертификат, помещенный туда, становится точкой доверия.

Поэтому туда должен устанавливаться именно проверенный корневой сертификат. Промежуточные сертификаты размещаются в соответствующем промежуточном хранилище.

Установка всех найденных .cer в доверенные корневые может скрыть проблему цепочки, но одновременно создать некорректную и небезопасную конфигурацию.

Пошаговый алгоритм исправления

Если появляется ошибка «Не удается построить цепочку сертификатов», используйте следующий порядок.

1. Посмотрите точный код ошибки. Например: 0x800B010A или 0x80092013.
2. Откройте Инструменты КриптоПро. Сертификаты → нужный сертификат → Свойства
3. Проверьте личный сертификат. Он должен быть установлен и находиться в пределах срока действия.
4. Проверьте промежуточные сертификаты. Все УЦ между личным и корневым сертификатом должны присутствовать.
5. Проверьте доверенный корень. Он должен находиться в хранилище доверенных корневых сертификатов.
6. Проверьте правильность хранилищ. Не помещайте промежуточный сертификат в корневое хранилище.
7. Проверьте CRL. Откройте «Точки распространения списка отзыва» и убедитесь, что адрес доступен.
8. Проверьте OCSP, если используется. Корпоративный firewall или proxy не должен блокировать обращение к сервису.
9. Проверьте дату и время Windows. Включите автоматическую синхронизацию.
10. Проверьте учетную запись. Убедитесь, что сертификаты установлены именно в том контексте Windows, где работает приложение.
11. Перезапустите приложение. Закройте браузер или программу ЭДО и откройте заново.
12. Повторите тест в КриптоПро. Если локальная проверка сертификата проходит, а ошибка остается только на одном конкретном сайте, диагностируйте уже настройки этого сервиса и браузерного плагина.

Частые вопросы

Что означает ошибка 0x800B010A?

КриптоПро не удалось достроить цепочку до доверенного корневого сертификата. В документации это состояние PartialChain. Чаще всего отсутствует сертификат УЦ либо система не может корректно проверить цепочку.

Чем 0x800B010A отличается от 0x800B0109?

0x800B010A означает, что цепочка неполная. При 0x800B0109 цепочка до некоторого корневого сертификата построена, но этот корень не является доверенным для системы.

Почему в «Пути сертификации» все нормально, но КриптоПро выдает ошибку?

Стандартное окно Windows не всегда показывает результат всех проверок, выполняемых при работе электронной подписи. Проблема может находиться, например, в CRL или OCSP. КриптоПро рекомендует смотреть подробный статус через Инструменты КриптоПро.

Где взять корневой сертификат?

На официальном сайте удостоверяющего центра или другого официального источника инфраструктуры электронной подписи. Например, ФНС публикует свои корневые сертификаты и списки отозванных сертификатов в разделе УЦ ФНС.

Куда устанавливать корневой сертификат?

В: Доверенные корневые центры сертификации → Сертификаты. Устанавливайте туда только сертификаты из проверенных официальных источников.

Куда устанавливать сертификат самого УЦ?

Если это не корневой, а промежуточный удостоверяющий центр: Промежуточные центры сертификации → Сертификаты

Что означает 0x80092013?

Сервер проверки отзыва сертификата недоступен. КриптоПро обозначает состояние как OfflineRevocation. Проверьте CRL Distribution Points, доступ в интернет, firewall и proxy.

Поможет ли установка CRL вручную?

Да, если проблема связана именно с невозможностью получить список отзыва. Но CRL необходимо регулярно обновлять, поэтому для обычного интернет-подключенного рабочего места лучше восстановить автоматический доступ.

Может ли антивирус мешать построению цепочки?

Косвенно — да, если его сетевые функции, firewall или корпоративная политика блокируют обращения к адресам CRL или OCSP. Но отключать защиту целиком ради проверки не следует. Сначала определите конкретный недоступный адрес.

Нужно ли перевыпускать электронную подпись?

Обычно нет. Ошибка цепочки чаще связана с настройкой рабочего места. Перевыпуск понадобится, если выяснится, например, что личный сертификат:

• просрочен;
• отозван;
• поврежден;
• не соответствует требованиям конкретной информационной системы.

Поможет ли переустановка КриптоПро?

Не в большинстве случаев. Если проблема в отсутствующем промежуточном сертификате или CRL, переустановка CSP ничего не изменит.

Почему старая ЭП работает, а новая показывает ошибку?

У нового сертификата могла измениться цепочка УЦ. Сравните издателей старого и нового сертификатов.

Главное

Ошибка «Не удается построить цепочку сертификатов» не означает автоматически, что электронная подпись сломана или закрытый ключ потерян.

Сначала определите точную причину через:
Инструменты КриптоПро → Сертификаты → Свойства сертификата

Дальше проверяйте цепочку по порядку: личный сертификат → промежуточные УЦ → доверенный корневой сертификат → CRL/OCSP.

• При 0x800B010A в первую очередь ищите отсутствующий элемент цепочки.
• При 0x80092013 проверяйте доступность серверов отзыва и актуальность CRL.
• При 0x80092010 сертификат уже отозван, а при 0x800B0101 проблема связана со сроком действия.

Не устанавливайте случайные сертификаты в доверенные корневые и не отключайте проверку отзыва только ради исчезновения ошибки. Цель — восстановить корректную цепочку доверия, а не просто убрать сообщение КриптоПро.