Корневые сертификаты нужны, чтобы компьютер доверял вашей подписи и мог построить цепочку до удостоверяющего центра. Если их нет, КриптоПро и площадки пишут, что цепочка сертификатов не проверена. Главное - взять нужные корни и не перепутать их с сертификатом Минцифры для сайтов
Коротко: что делать
- Для КЭП ФНС нужны два корневых сертификата: Минцифры (ГУЦ) и УЦ ФНС
- Берите их только на официальных ресурсах: e-trust.gosuslugi.ru, сайт вашего УЦ или nalog.gov.ru
- Откройте файл сертификата
- Нажмите Установить сертификат
- Не путайте их с сертификатом Минцифры с gosuslugi.ru/crt: он для сайтов, не для подписи
- Если цепочка всё ещё не строится, установите промежуточный сертификат УЦ
Что означает «корневой сертификат»
Электронная подпись проверяется по цепочке: ваш сертификат выдан удостоверяющим центром, а тот подтверждён корневым центром. Если на компьютере нет корневых сертификатов, Windows и КриптоПро не могут дойти по цепочке до доверенного корня и сообщают о проблеме с цепочкой
Для КЭП ФНС в инструкции налоговой названы два корневых сертификата: Минцифры (ГУЦ) и УЦ ФНС
Два разных сертификата Минцифры
Сертификатов от Минцифры два, и они решают разные задачи
| Корень ГУЦ Минцифры для КЭП | Сертификат с gosuslugi.ru/crt | |
|---|---|---|
| Для чего | проверка электронной подписи | открытие сайтов с российскими TLS-сертификатами |
| Название | корневой сертификат ГУЦ | Russian Trusted Root CA (НУЦ) |
| Где берут | e-trust.gosuslugi.ru, сайт УЦ | gosuslugi.ru/crt |
| Нужен для КЭП | да | нет |
Если вы установили только сертификат с gosuslugi.ru/crt, а подпись по-прежнему не проверяется, это нормально: он не относится к цепочке КЭП. Этот сертификат ставят в Доверенные корневые центры сертификации для открытия сайтов
Причины ошибок с цепочкой
- Не установлен корень Минцифры (ГУЦ) или УЦ ФНС
- Установлен не тот сертификат, например TLS-сертификат Минцифры вместо корня для КЭП
- Нет промежуточного сертификата УЦ, даже если оба корня на месте
- Файл скачан с неофициального сайта и не соответствует нужному УЦ
Диагностика
Откройте свой сертификат и посмотрите сведения о цепочке (путь) до корневого центра. Если он помечен как не прошедший проверку или цепочка обрывается, не хватает корня или промежуточного сертификата. Проверьте, что оба корня (Минцифры и УЦ ФНС) установлены, и если да, переходите к способу 3
Решение
Способ 1. Скачать корни только из официальных источников
⚠️ Не скачивайте корневые сертификаты со сторонних сайтов и из чатов. Корневой сертификат определяет, чему доверяет компьютер, поэтому брать его нужно только у надёжного источника
- Откройте портал аккредитованных УЦ e-trust.gosuslugi.ru
- Найдите корневые сертификаты Минцифры
- Корневой сертификат УЦ ФНС возьмите на сайте nalog.gov.ru в разделе об удостоверяющем центре ФНС или на сайте вашего удостоверяющего центра
- Если вы не нашли нужный файл, спросите ссылку у УЦ, который выдал подпись
Точные имена файлов и адреса страниц на этих сайтах меняются, ориентируйтесь на названия «Минцифры» (ГУЦ) и «УЦ ФНС»
Способ 2. Установить корневой сертификат
- Откройте скачанный файл сертификата двойным щелчком
- Нажмите Установить сертификат
- Следуйте мастеру импорта: корневые сертификаты, как правило, помещают в хранилище доверенных корневых центров сертификации
- Подтвердите установку
- Повторите для второго корня
Если Windows показывает предупреждение безопасности, сверьте источник файла: он должен быть с официального сайта
Способ 3. Промежуточный сертификат УЦ
Ошибка «цепочка не построена» может оставаться при установленных обоих корнях. В этом случае нужен ещё промежуточный сертификат УЦ
- Откройте сайт удостоверяющего центра, который выдал вашу подпись
- Найдите раздел с сертификатами УЦ
- Скачайте промежуточный сертификат
- Откройте файл сертификата
- Нажмите Установить сертификат
- Следуйте мастеру установки
- Перезапустите КриптоПро и браузер
- Повторите проверку
Если подпись не появляется в списке, смотрите КриптоПро не видит сертификат. Общая последовательность установки подписи описана в статье как установить электронную подпись на компьютер
Если не помогло
Если цепочка сертификатов так и не строится, а отчёт или заявку нужно отправить сегодня, инженер prokep.ru подключится удалённо и подберёт нужные корневые и промежуточный сертификаты при вас
- подключение через RuDesktop или AnyDesk, вы видите все действия на экране
- PIN-код вы вводите сами, инженер не просит его назвать и не копирует ключи
- после работы - официальный чек самозанятого
Напишите в Telegram @prokep_bot или в мессенджер MAX. Стоимость - на странице помощи инженера
Частые вопросы
Какие корневые сертификаты нужны для КЭП ФНС?
Два: корневой сертификат Минцифры (ГУЦ) и корневой сертификат УЦ ФНС. Устанавливаются они открытием файла и кнопкой Установить сертификат
Сертификат Минцифры с gosuslugi.ru/crt подходит для электронной подписи?
Нет. Это сертификат для сайтов с российскими TLS-сертификатами (Russian Trusted Root CA), к КЭП он отношения не имеет. Корни для подписи берите на портале e-trust.gosuslugi.ru или на сайте своего удостоверяющего центра
Где брать корневые сертификаты аккредитованных УЦ?
На портале аккредитованных удостоверяющих центров e-trust.gosuslugi.ru, там же публикуется список отозванных сертификатов. Можно также взять их на сайте своего УЦ
Корни установлены, а цепочка сертификатов не построена. Почему?
Кроме двух корневых может понадобиться промежуточный сертификат удостоверяющего центра. Его берут на сайте УЦ, который выдал вашу подпись