Диагностика КриптоПро CSP: проверка ошибок ЭЦП в 2026 году

1 Загрузите необходимые файлы:

Перетащите или выберите файл

2 Выберите электронную подпись:

Отправить

Отправить

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Диагностика КриптоПро CSP — это последовательная проверка криптопровайдера, токена, сертификата и браузерного плагина для поиска причины, по которой документ не подписывается или подпись считается невалидной. В 90 процентах случаев ошибка ЭЦП возникает не в самом КриптоПро, а в смежных компонентах: драйвере токена, истёкшей лицензии, неправильно установленном сертификате или несовместимости версии криптопровайдера с операционной системой. В этой статье разберём, как за 5-7 минут локализовать причину, какие команды и встроенные утилиты использовать, и как читать коды ошибок без обращения в техподдержку. После устранения неполадок проверить работоспособность подписи можно через бесплатный онлайн-сервис подписания документа — он подпишет или проверит документ прямо в браузере без установки дополнительного ПО.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что показывает диагностика КриптоПро CSP

Диагностика — это не одна кнопка, а связка из 6-7 проверок: версия криптопровайдера, статус лицензии, видимость токена в системе, целостность контейнера ключа, годность сертификата, регистрация плагина в браузере и наличие корневых сертификатов УЦ. Каждая из этих проверок отсекает свой класс ошибок. Без последовательной диагностики можно неделями биться в одной точке, а проблема будет совсем в другой.

На практике в КриптоПро CSP сбоит не сама криптография. Алгоритмы ГОСТ 2012 в пятом релизе работают стабильно. Сбоит окружение: новая Windows 11, обновлённый Chromium-браузер, свежий драйвер Рутокена, поменявшийся пароль пользователя или просто закончившаяся лицензия. Поэтому диагностика всегда идёт от внешнего к внутреннему: сначала проверяем, что система видит токен, потом — что КриптоПро видит токен, потом — что в токене лежит правильный контейнер, и только после этого добираемся до самого сертификата.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Когда эйчар или кадровик звонит и говорит: ‘у меня перестала работать подпись’ — первое, что я прошу, это вынуть флешку и вставить заново. В 30 процентах случаев на этом шаге всё чинится. Юсби-токен не обнаруживается системой — значит, ни о какой проверке закрытки и сертификата речи нет. Сначала железо, потом софт, потом крипта. Иначе будете шариться по окнам менеджера сертификатов и не понимать, почему там пусто.»

Признаки сбоя криптопровайдера в работе с ЭЦП

Сбой КриптоПро CSP проявляется по-разному в зависимости от того, на каком этапе работы пользователь его поймал. На этапе открытия программы криптопровайдер просто не запускается или выдаёт ошибку 0x80090019. На этапе выбора сертификата список оказывается пустым, хотя серт точно был установлен вчера. На этапе подписания вылетает окно «набор ключей не определён» или «не удалось построить цепочку доверия».

Отдельная категория сбоев — это работа через браузерный плагин. На Госуслугах при попытке войти по ЭП пользователь видит «плагин не установлен», хотя расширение в браузере включено. На сайте налоговой подпись формируется, но ФНС возвращает её как невалидную. На электронных торговых площадках выскакивает ошибка JavaScript при обращении к КриптоПро ЭЦП Browser Plug-in. Причина почти всегда одна: версия плагина не совпадает с версией CSP, или плагин не зарегистрирован в новой версии браузера после обновления.

В корпоративной практике мы в Добыто видим частую ситуацию: на компании ставят свежий релиз КриптоПро CSP 5.0 R3, но сотрудники продолжают пользоваться плагинами от 4-й версии. Подпись документов в кадровом контуре в этом случае работает через раз. Сторонние интеграции с 1С:ЗУП и Bitrix24 ломаются. Лечится синхронным обновлением CSP, плагина и драйверов токенов.

Базовая диагностика КриптоПро CSP за 5 минут

Базовая диагностика собирает картину по системе. Открываем меню «Пуск», находим папку КРИПТО-ПРО, запускаем «КриптоПро CSP» и переходим во вкладку «Общие». Здесь смотрим версию (должна быть 5.0 R3 на актуальную дату 2026 года), срок действия лицензии и режим установки. Если видна красная плашка «лицензия истекла» — дальше можно не копать, нужно просто продлить или активировать новую.

Дальше — вкладка «Оборудование». Кнопка «Настроить считыватели» покажет, какие физические носители КриптоПро видит. Если флешка с ключом подключена, а в списке нет ничего, кроме «Все считыватели смарт-карт» и «Реестр» — драйвер юсби-токена не подхватился. На вкладке «Сервис» есть кнопка «Просмотреть сертификаты в контейнере» — это самая короткая дорога посмотреть, что вообще лежит в подключённой флешке. Если контейнер виден, но сертификата в нём нет — сертификат не был привязан к контейнеру или истёк.

Третий шаг базовой диагностики — запуск «Инструменты КриптоПро» (cptools.exe). Это отдельная утилита, которая ставится вместе с CSP начиная с версии 5.0. В ней есть автоматическая проверка по 12 пунктам: версия CSP, лицензия, доступность ключевого носителя, наличие корневых сертификатов УЦ, работа браузерного плагина. Запуск проверки занимает 30-40 секунд, на выходе пользователь получает список зелёных и красных пунктов. Это самая быстрая дорога локализовать сбой.

Проверка лицензии КриптоПро CSP на сайте

Лицензия в КриптоПро CSP — частая причина внезапной потери функциональности. Демо-период длится 90 дней, после чего криптопровайдер отказывается формировать подпись. Серийный номер лицензии вводится через «Управление лицензиями» в окне CSP или через утилиту cpconfig. Истёкшая лицензия в окне отображается как «срок действия истёк», а в логах системы появляется код 0x80090019.

Для проверки на стороне КриптоПро есть отдельный механизм. На корпоративном сайте вендора в личном кабинете заказчика лицензии привязаны к учётной записи покупателя. По серийному номеру можно посмотреть тип лицензии (клиентская, серверная, обновление), срок действия и количество доступных активаций. Бессрочная лицензия (так её называют, хотя она привязана к версии CSP) действует на конкретный релиз — 5.0 R2 или 5.0 R3 — и не переносится автоматически на старшие версии.

Я встречала компании, где КЭДО сломался в начале года из-за того, что бухгалтерия забыла продлить корпоративную лицензию КриптоПро на 200 рабочих мест. Все договоры, отпускные, согласия на КЭДО просто перестали подписываться. Это не баг и не сбой — это плановое истечение, которое легко контролируется через калькулятор КриптоПро со сроком действия лицензий и сертификатов на одной странице.

Мария Ж, юрист со стажем более 20 лет:
«Логику в требовании ежегодного продления лицензии искать бессмысленно, его нужно просто закладывать в бюджет ИТ-отдела. У нас был случай в крупном ритейле: 18 декабря лицензия CSP закончилась, а закупка через тендер на новую растянулась на полтора месяца. Полтора месяца кадровики печатали приказы на бумаге и носили их по этажам. Денежки, кстати, по итогу потратили те же, только ещё доплатили за бумагу и курьеров.»

Диагностика токена и контейнера ключа

Юсби-токен (в народе — флешка с подписью) — это связка железа и драйвера. Если КриптоПро не видит токен, причина в одном из четырёх мест: физическая поломка USB-разъёма или самого токена, отсутствие или устаревший драйвер (Рутокен Драйверы, JaCarta PKI Client, Aladdin eToken PKI Client), конфликт версий драйвера с операционной системой, заблокированный токен после нескольких неверных вводов PIN-кода.

Диагностика идёт по шагам. Открываем «Диспетчер устройств» Windows и смотрим, виден ли токен в разделе «Контроллеры USB» или «Устройства смарт-карт». Если устройство есть и без жёлтых восклицательных знаков — драйвер встал нормально. Если знак есть — пере-устанавливаем драйвер с сайта производителя токена. Дальше открываем родную утилиту токена (Панель управления Рутокен или клиент JaCarta) и смотрим, видны ли в ней объекты ключа.

Через КриптоПро CSP проверка делается через «Сервис» — «Просмотреть сертификаты в контейнере». Кнопка «Обзор» показывает список всех контейнеров на всех подключённых носителях. Если контейнер виден, но открыть его не получается с правильным паролем — это блокировка токена после неверных попыток. Восстановление возможно только администратором безопасности или утилитой производителя. Стандартный лимит — 10 неверных ПИНов.

Диагностика сертификата электронной подписи

Сертификат — это паспорт владельца ключа. Если контейнер исправен, токен виден, лицензия активна, но подпись всё равно не формируется — проблема в сертификате. Открываем КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбираем нужный контейнер и смотрим карточку сертификата.

Ключевые поля для диагностики: «Кому выдан» (ФИО владельца, должность, ОГРН компании), «Кем выдан» (название УЦ), «Действителен с/по» (срок жизни сертификата), серийный номер, отпечаток. На вкладке «Состав» видно алгоритм подписи (для УКЭП — ГОСТ Р 34.10-2012) и публичный ключ. На вкладке «Путь сертификации» — цепочка от сертификата владельца до корневого сертификата головного УЦ Минцифры.

Если на вкладке «Путь сертификации» виден жёлтый или красный значок — корневой сертификат головного УЦ не установлен в системе или просрочен. Лечится скачиванием и установкой пакета корневых сертификатов с сайта Минцифры или непосредственно с сайта аккредитованного УЦ. На сайте госуслуг есть отдельный сервис проверки сертификата по отпечатку — туда можно вбить отпечаток из карточки сертификата и получить независимую проверку статуса.

Мария Ж, судебный эксперт по трудовому праву:
«Самый частый юридический спор по ЭЦП в кадровых делах — это когда работник заявляет, что сертификат на его имя был просрочен на момент подписания трудового договора. Я разбирала минимум пять таких дел в 2024-2025 годах. В каждом случае мы поднимали технический отчёт о проверке подписи через КриптоПро или Госуслуги. Если сертификат был валиден в момент создания подписи и есть штампик времени — суд встаёт на сторону работодателя. Если штампа времени нет — дело разваливается. Поэтому без архивной метки времени для долгосрочных кадровых документов жить нельзя.»

Браузерный плагин КриптоПро ЭЦП — диагностика работы

КриптоПро ЭЦП Browser Plug-in — это отдельный компонент, который связывает CSP с браузером. Без него ни Госуслуги, ни Госзакупки, ни личный кабинет ФНС не смогут вызвать функцию подписания. Плагин ставится один раз на машину, после чего регистрируется во всех установленных браузерах.

Для диагностики плагина есть официальная страница cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html. На ней можно загрузить тестовый документ, выбрать сертификат и сформировать тестовую подпись. Если страница говорит «плагин не загружен» — расширение не активировано в браузере. Если плагин виден, но сертификаты пустые — не зарегистрирован CSP. Если сертификат выбирается, но при подписании ошибка 0x80090020 — конфликт версий плагина и провайдера.

В разных браузерах диагностика идёт по-разному. В Chrome и Яндекс.Браузере расширение проверяется через chrome://extensions, в Firefox — через about:addons. В Edge новой версии плагин нужно скачивать отдельно из Microsoft Store. На macOS КриптоПро ЭЦП Browser Plug-in поддерживает Safari только в платном корпоративном исполнении. Для Linux актуальны только Chromium-семейство и Firefox — в нативном Firefox для отечественных дистрибутивов плагин обычно работает из коробки.

Если плагин КриптоПро в принципе не устанавливается на конкретном рабочем месте, а подписывать документы нужно прямо сейчас — есть альтернативные клиенты, которые работают со старыми токенами и сертификатами без браузерного плагина. Полный список таких решений с описанием совместимости приведён в обзоре программ для подписания документов ЭЦП, среди них КриптоАРМ ГОСТ 3, Saby Crypto, Контур.Крипто и КриптоЭксперт.

Образцы документов и инструкций по настройке ЭЦП

Распространённые ошибки и расшифровка кодов КриптоПро

Каждый код ошибки в КриптоПро CSP имеет конкретную причину. Разбор по самым частым: 0x80090019 — набор ключей не определён, причина в отсутствии лицензии или повреждении контейнера. 0x80090020 — внутренняя ошибка криптопровайдера, чаще всего конфликт версий CSP и плагина. 0x8009201D — неверный пароль контейнера, токен заблокируется через 10 неверных попыток. 0x80091004 — не удаётся обнаружить объект ключа, проблема с драйвером токена.

Отдельный класс ошибок — связанный с цепочкой доверия. Код 0x80092009 означает, что не найден сертификат УЦ, выпустившего пользовательский серт. Лечится установкой корневых сертификатов с сайта Минцифры. 0x800B010A — не удаётся построить путь сертификации, обычно из-за блокировки доступа к серверу проверки статуса (OCSP). 0x80096004 — подпись не прошла проверку, документ был изменён после подписания или сертификат отозван.

В работе с КЭДО мы постоянно ловим вот эти коды у новых клиентов, особенно из госсектора и медицины, где парк машин неоднороден. На один проект внедрения у нас закладывается 1-2 дня на сбор кодов ошибок с разных рабочих мест, ещё день — на их типизацию и составление шаблонной инструкции для эйчаров. Без этого сотрудники возвращают КЭДО в исходную точку: «не работает — звоню в кадры — кадры разводят руками».

Как провести полную диагностику КриптоПро CSP: пошаговая инструкция

Тарифы сервиса Добыто КЭДО с поддержкой настройки ЭП

Стоимость КЭДО с настройкой и сопровождением электронной подписи зависит от численности сотрудников и набора видов ЭП — ПЭП, УНЭП, УКЭП. В тариф закладывается лицензионная часть КриптоПро CSP для тех машин, где требуется усиленная подпись, и сопровождение пилотной группы для отладки рабочего места кадровика. Базовые ставки сервиса Добыто КЭДО приведены ниже.

Итоговая сумма зависит от численности персонала, выбранного тарифа и набора подключаемых модулей — архив, маршруты согласования, мобильное приложение. Для расчёта под конкретный штат и комбинацию видов ЭП есть отдельная калькуляция, актуальные тарифы сервиса Добыто КЭДО помогут сориентироваться точнее перед запросом коммерческого предложения.

Когда нужно переустановить КриптоПро и как не потерять подпись

Переустановка КриптоПро CSP — это крайний шаг диагностики. Делается в случаях, когда: версия криптопровайдера устарела и не поддерживает новый сертификат, после обновления операционной системы CSP перестаёт запускаться, повреждены системные файлы провайдера. Перед удалением старой версии обязательно сохранить серийный номер лицензии и экспортировать контейнеры ключей, если они хранятся в реестре Windows (а не на токене).

Алгоритм безопасной переустановки. Шаг первый — выписать серийник лицензии из окна CSP, вкладка «Общие». Шаг второй — открыть «Сервис» — «Скопировать контейнер» и сохранить копии всех ключей в реестре на отчуждаемый носитель. Шаг третий — удалить КриптоПро через Панель управления, перезагрузить машину. Шаг четвёртый — скачать актуальный дистрибутив (5.0 R3 на текущий момент), установить, ввести серийник, импортировать обратно контейнеры и сертификаты.

Отдельная история — переустановка после смены ПК или ОС. Здесь нужно учитывать тип лицензии. Бессрочная клиентская привязана к пользователю, переносится без проблем. Корпоративная серверная лицензия привязывается к серверу — переустанавливается только с уведомлением вендора. На крупных проектах внедрения КЭДО мы в Добыто рекомендуем заранее держать резервный список лицензий — 5-7 процентов от общего парка — для замены сломанных машин без простоя кадровиков.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«При переустановке КриптоПро 90 процентов проблем — это не сама установка, а потеря закрытки от УКЭП руководителя. У нас был кейс в производственной компании на 1200 сотрудников: сисадмин переустановил Windows на ноутбуке гендира без копии контейнера. УКЭП пришлось перевыпускать заново, на это ушло 4 рабочих дня в УЦ. Все срочные приказы за этот период пришлось дублировать на бумаге. Теперь мы при подключении сразу заводим протокол: контейнер УКЭП руководителя — всегда на токене, никогда в реестре, плюс архивная копия у безопасника в сейфе для токенов.»

Выводы: диагностика КриптоПро CSP в работе с ЭП

Диагностика КриптоПро CSP идёт по фиксированной последовательности от внешних слоёв к внутренним: версия и лицензия CSP, видимость токена в системе, наличие контейнера, годность сертификата, регистрация плагина в браузерах. Каждый слой отсекает свой класс ошибок и сужает зону поиска. Базовая диагностика занимает 5-7 минут и закрывает большинство сбоев без обращения в техподдержку. Утилита «Инструменты КриптоПро» (cptools.exe) даёт автоматическую проверку по 12 пунктам и должна быть первым инструментом в руках кадровика или ИТ-специалиста при разборе ошибки ЭП.

На практике стоит держать под рукой шпаргалку с расшифровкой кодов ошибок 0x80090019, 0x80090020, 0x8009201D, 0x80091004, 0x80092009 — это пять кодов, которые покрывают 80 процентов реальных инцидентов. Лицензию КриптоПро нужно мониторить заранее, минимум за два месяца до истечения, иначе кадровый документооборот встанет в самый неподходящий момент. Корневые сертификаты УЦ обновляйте при каждом мажорном обновлении операционной системы, иначе цепочка доверия будет рваться. Для УКЭП руководителя — всегда токен, никогда реестр Windows, и обязательно архивная копия закрытого ключа.

В перспективе на 2026-2027 годы стоит закладывать переход на КриптоПро CSP 5.0 R3 как базовый стандарт. Сертификат на 4-ю версию действует до 15 января 2026 года, и регулятор может его не продлить. Алгоритмы Кузнечик и Магма уже активно продвигаются Банком России, и для финансовых организаций они станут обязательными в ближайшие циклы. Для кадрового блока критичны архивные метки времени на электронных подписях долгосрочных документов — трудовых договоров, приказов о приёме, согласий на КЭДО — иначе через 5-7 лет проверить такую подпись будет невозможно.

Часто задаваемые вопросы