Удалить старый сертификат ЭЦП с компьютера приходится сразу в трёх местах: в системном хранилище Windows (оснастка certmgr.msc, раздел «Личное»), в контейнере закрытого ключа КриптоПро CSP (реестр, флешка или токен) и в панели управления носителя, если ключ лежит на Рутокен, JaCarta или eSmart Token ГОСТ. Удаление сертификата из хранилища не отзывает его: по 63-ФЗ сертификат прекращает действие только с момента внесения записи в реестр удостоверяющего центра, а сведения вносятся туда в течение 12 часов. Главное различие, которое определяет порядок действий: вы чистите копию сертификата без закрытого ключа или удаляете контейнер, который восстановить нельзя.
Разберём, какие сертификаты в хранилище удаляются безболезненно, а какие ломают проверку подписи на всём архиве документов и расшифрование старой почты. Покажем удаление через оснастку, «Инструменты КриптоПро», certutil и PowerShell, чистку веток реестра с контейнерами и порядок для парка машин. Отдельно — что делать, если пароль от контейнера забыт, и как не потерять возможность проверить подпись p7s за прошлые годы. Сценарная таблица, чек-лист перед удалением, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Где физически лежит сертификат ЭЦП и что именно вы удаляете
Сертификат в хранилище Windows — это открытая часть: данные владельца, издатель, срок действия, серийный номер, отпечаток и открытый ключ. Закрытый ключ хранится отдельно, в ключевом контейнере: в реестре, на съёмном диске или в защищённой памяти токена. Отсюда два разных сценария чистки, которые постоянно путают: удаление сертификата из хранилища обратимо, удаление контейнера — нет.
Хранилищ в Windows несколько, и они не равнозначны. В консоли управления сертификатами видно дерево: «Личное», «Доверенные корневые центры сертификации», «Промежуточные центры сертификации», «Недоверенные сертификаты», «Запросы на выдачу сертификата». Пользовательские сертификаты живут в «Личном» профиля пользователя, туда же попадает всё, что установлено с токена. Параллельно существует такое же дерево уровня компьютера: его открывает certlm.msc, и сертификаты оттуда видят все учётные записи машины.
Ниже сведено, что за объект вы удаляете, чем это делается и что происходит после. Таблица нужна, чтобы выбрать инструмент до того, как что-то будет удалено безвозвратно.
| Объект | Где лежит | Чем удалить | Что после удаления |
|---|---|---|---|
| Личный сертификат пользователя | Хранилище «Личное» текущего пользователя | certmgr.msc, «Инструменты КриптоПро», certutil, PowerShell | Пропадает из списков выбора; ставится обратно из контейнера |
| Сертификат уровня компьютера | Хранилище «Личное» локального компьютера | certlm.msc или certutil с правами администратора | Пропадает у всех учётных записей машины |
| Корневой сертификат Минцифры России | Доверенные корневые центры сертификации | Технически удаляется той же оснасткой | Цепочка доверия не строится, подписи перестают проверяться |
| Сертификат УЦ ФНС России | Промежуточные центры сертификации | Технически удаляется той же оснасткой | Подписи, выданные этим УЦ, не проходят проверку |
| Контейнер закрытого ключа в реестре | Ветка Crypto Pro в разделе Settings\Users\SID\Keys | КриптоПро CSP, вкладка «Сервис», «Удалить контейнер» | Ключ уничтожается, связанные сертификаты уходят из хранилищ |
| Контейнер на токене | Защищённая память Рутокен, JaCarta, eSmart Token ГОСТ | КриптоПро CSP или панель управления носителя | Освобождается память носителя, неизвлекаемый ключ уничтожается |
| Файл подписи p7s, sig, sgn | Файловая система, рядом с документом | Обычное удаление файла | Подтвердить подписание документа больше нечем |
Из таблицы следует практическое правило чистки: сначала контейнеры, где принимается необратимое решение, потом хранилища пользователя, и ничего в корневых и промежуточных разделах.
Мария Ж, специалист по цифровой подписи и КЭДО: «Сертификат из «Личного» удаляется без последствий, пока цел ключевой контейнер. Ставится он обратно за минуту: в КриптоПро CSP открываете вкладку «Сервис», нажимаете «Просмотреть сертификаты в контейнере», кнопкой «Обзор» выбираете контейнер и доводите мастер до конца. Поэтому чистку хранилища можно делать смело, а вот перед удалением контейнера всегда проверяйте, есть ли действующая копия ключа.»
Какие сертификаты удалять нельзя
Корневой сертификат Минцифры России ставится в раздел «Доверенные корневые центры сертификации», сертификат УЦ ФНС России — в «Промежуточные центры сертификации». Оба скачиваются с адреса uc.nalog.ru/crt файлами guc_22.cert и CA_FNS_Russia_2022_01.cert. Если такой сертификат удалить, перестают проверяться все подписи соответствующей цепочки, а не только та, из-за которой затевалась чистка. Внешне это выглядит как поломка криптопровайдера: подпись создаётся, но статус приходит отрицательный.
Полезно знать: корневой сертификат Минцифры и сертификат УЦ ФНС ставятся в разные хранилища — доверенных корневых и промежуточных центров соответственно. Перепутанное или удалённое звено даёт ту же ошибку проверки, что и просроченный сертификат подписанта.
Второй запрет касается сертификатов, которыми уже что-то подписано или зашифровано. Электронная почта по стандарту S/MIME расшифровывается только ключом получателя: удалили контейнер — и письма в архиве останутся зашифрованным вложением, открыть их не сможет никто. Та же логика с документами долгосрочного хранения: подпись формата CAdES с меткой времени проверяется годами, но для проверки нужна вся цепочка сертификатов, включая сертификат удостоверяющего центра.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Документ, подписанный при действующем сертификате, не теряет силу после истечения срока сертификата. Но подтверждать это придётся вам: для долгосрочного хранения подпись усиливают меткой времени и форматом CAdES, а цепочку сертификатов сохраняют вместе с архивом. Прежде чем чистить хранилище на машине, где годами подписывали документы, выгрузите сертификаты подписантов в файл.»
Проверьте, каким сертификатом подписаны архивные документы
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
В практике Добыто мы отдельно проверяем архив до чистки рабочих мест: файл подписи содержит сертификат подписанта, и по нему видно, чей это ключ, какой удостоверяющий центр его выдал и до какой даты он действовал. Это дешевле, чем восстанавливать доказательства через удостоверяющий центр после того, как рабочее место переустановили.
Как удалить сертификат из хранилища Windows
Перед удалением сертификат нужно однозначно опознать. Имя владельца для этого не годится: у одного человека в списке бывает три сертификата от разных лет и разных удостоверяющих центров. Опознавательные признаки — серийный номер и отпечаток, они видны в свойствах сертификата на вкладке «Состав».
Что проверить до удаления: чек-лист
- Срок действия сертификата и срок действия закрытого ключа: это два разных поля, и они не всегда совпадают.
- Есть ли этот же сертификат на подключённом токене. Если есть, после удаления он вернётся в хранилище при следующей установке с носителя.
- Используется ли сертификат для расшифрования почты или архивных файлов.
- Какие информационные системы настроены на этот сертификат: личные кабинеты, торговые площадки, отчётность.
- Есть ли действующая МЧД, выданная на владельца этого сертификата. При смене сертификата представителя данные МЧД перестают соответствовать подписи.
- Кто владелец рабочего места: чистка через certlm.msc затрагивает всех пользователей машины.
Как удалить сертификат ЭЦП из хранилища: пошаговая инструкция
- Шаг 1. Нажмите Win + R, введите certmgr.msc и подтвердите. Откроется хранилище сертификатов текущего пользователя.
- Шаг 2. Разверните раздел «Личное», выберите папку «Сертификаты» и отсортируйте список по сроку действия, чтобы отделить просроченные записи от рабочих.
- Шаг 3. Откройте свойства кандидата на удаление, сверьте серийный номер и отпечаток с реестром сертификатов организации.
- Шаг 4. Удалите сертификат через контекстное меню и подтвердите операцию. Windows не спрашивает про контейнер: закрытый ключ остаётся на месте.
- Шаг 5. Проверьте хранилище компьютера через certlm.msc. Сертификаты, установленные администратором для всех пользователей, в certmgr.msc не видны.
- Шаг 6. Перезапустите браузер и приложение, работавшее с подписью: список сертификатов кэшируется до перезапуска.
Тот же результат даёт утилита «Инструменты КриптоПро»: в разделе «Сертификаты» выбирается хранилище «Личное», таблица показывает субъекта, издателя, срок действия и отпечаток, а лишняя запись удаляется кнопкой. Этот путь удобнее, когда на машине стоит КриптоПро CSP и нужно видеть привязку сертификата к контейнеру.
Для скриптов и удалённой чистки применяются консольные способы. Команда certutil -user -store My выводит список личных сертификатов пользователя с серийными номерами, а certutil -user -delstore My с серийным номером или отпечатком удаляет конкретную запись. В PowerShell то же самое делается через провайдер сертификатов: Get-ChildItem Cert:\CurrentUser\My для просмотра и Remove-Item с путём до отпечатка для удаления. Отбор по полю NotAfter убирает за один проход все записи с истёкшим сроком, не трогая действующие. В практике Добыто мы просим администратора выгрузить такой список до подключения компании к сервису: сразу видно, у кого подпись истекает в ближайший месяц.
Мария Ж, автор более 1000 статей о цифровой подписи и КЭДО: «Частая причина обращения в поддержку звучит как «подпись не работает», а на деле в списке выбрано не то. Когда у сотрудника два сертификата за разные годы, интерфейс показывает их одинаково. Отсортируйте список по дате, оставьте самый свежий, а старый удаляйте только после того, как убедились, что он нигде не используется.»
Кейс из практики: на рабочем месте бухгалтера в менеджере сертификатов лежали две записи одной организации, 2018 и 2020 годов, и вход в личный кабинет заканчивался ошибкой. Решение заняло минуту: список отсортировали по дате и выбрали свежий сертификат. Вход прошёл, при этом старая запись не удалялась до сверки с архивом отчётности.
Как удалить контейнер закрытого ключа: реестр, флешка, токен
Контейнер удаляется из КриптоПро CSP: вкладка «Сервис», кнопка «Удалить контейнер», выбор носителя и имени контейнера. Вместе с контейнером уходят связанные с ним сертификаты из системных хранилищ, поэтому отдельная чистка «Личного» после этого не нужна. Операция необратима: восстановить закрытый ключ из резервной копии реестра штатными средствами нельзя, а неизвлекаемый ключ на токене уничтожается физически.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Носитель «Реестр» хранит контейнеры в ветке Crypto Pro, в разделе Settings\Users с идентификатором пользователя SID и подразделом Keys. На 64-разрядной системе тот же путь лежит внутри раздела Wow6432Node. Ручное удаление ветки допустимо, когда контейнер повреждён и КриптоПро CSP его не показывает. В остальных случаях правка реестра руками оставляет мусорные записи в профиле пользователя и не убирает сертификаты из хранилищ.
Факт: на токене со 128 КБ защищённой памяти помещается до 31 контейнера в формате КриптоПро CSP. Оценка сверху для одного контейнера с цепочкой сертификатов и расширениями удостоверяющего центра — около 12 КБ.
Важный нюанс из практики: переполненный токен ведёт себя не как «кончилась память», а как случайные отказы при записи нового контейнера. Прежде чем менять носитель, посмотрите в панели управления объём свободной памяти и список контейнеров: обычно часть занята сертификатами двух-трёхлетней давности.
Драйверы носителей скачиваются только с сайтов производителей: Рутокен — с rutoken.ru, JaCarta — с aladdin-rd.ru, eSmart Token ГОСТ — с esmart.ru. Без установленного драйвера КриптоПро CSP не увидит носитель, и контейнер удалить не получится, даже если сам токен исправен. Отдельно учитывайте класс ключа: извлекаемый контейнер, выданный удостоверяющим центром ФНС, имеет флаг «неэкспортируемый», скопировать его перед удалением нельзя по регламенту центра.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Перед удалением контейнера уточните, каким способом сгенерирован ключ. Извлекаемый ключ в формате CSP копируется заранее, если при генерации был установлен флаг экспорта. Ключи ФКН и PKCS#11 не покидают память токена вообще: удалили — значит нужен новый выпуск сертификата в удостоверяющем центре.»
Удаление не равно отзыву: что делать с сертификатом уволенного сотрудника
Чистая машина не означает, что сертификатом нельзя воспользоваться. Пока запись о прекращении действия не внесена в реестр удостоверяющего центра, сертификат считается действующим, а копия контейнера могла остаться на другом носителе. По статье 14 63-ФЗ действие квалифицированного сертификата прекращается на основании заявления владельца, поданного на бумаге или в электронном виде, и наступает с момента внесения записи в реестр сертификатов, а сведения вносятся в течение 12 часов.
Проверить, работает ли выдавший сертификат удостоверяющий центр и сохранил ли он аккредитацию, можно в реестре аккредитованных удостоверяющих центров Минцифры России: там же публикуются сведения головного удостоверяющего центра. Это первое, что стоит открыть, если проверка подписи падает не на одной машине, а на всех сразу.
Внимание: сертификаты с реквизитами организации на сотрудника, выданные до 31 августа 2023 года, использовались до конца своего срока, но не позднее 31 августа 2024 года. Всё, что осталось от них в хранилищах, работать уже не может: сотрудник подписывает сертификатом физического лица с приложением МЧД.
Отсюда практическое следствие для чистки: старые сертификаты сотрудников с указанием должности и наименования юрлица удаляются без обсуждений, а привязанные к ним данные МЧД нужно перепроверить. Машиночитаемая доверенность — это XML-файл с кодами полномочий, привязанный к сертификату представителя. Меняется сертификат — оформляется новая доверенность. Для филиалов и обособленных подразделений это особенно заметно: доверенность выдаёт руководитель юридического лица, а передоверие оформляется через нотариуса с паспортными данными нового уполномоченного лица и актуальной выпиской из ЕГРЮЛ.
Мария Ж, юрист со стажем более 20 лет: «Удаление сертификата с рабочего места — техническая операция, полномочия она не прекращает. При увольнении сначала подаётся заявление в удостоверяющий центр и отзывается машиночитаемая доверенность, и только потом чистится машина. Если сделать наоборот, у вас останется действующий сертификат, за подпись которым отвечает организация.»
Шаблоны и инструкции для работы с сертификатами
Комплект собран под чистку и переоформление подписей: начинать удобнее с реестра сертификатов, чтобы понимать, что вообще есть в организации.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
Чистка парка машин и журнал учёта ЭЦП
На одной машине задача решается руками, на сотне — только скриптом и учётом. Групповые политики умеют раздавать корневые и промежуточные сертификаты, но не чистят пользовательское хранилище «Личное»: оно живёт в профиле, и до него добирается либо логон-скрипт, либо средство управления конфигурациями. Рабочая схема — скрипт, который перебирает Cert:\CurrentUser\My, отбирает записи с истёкшим сроком и складывает отпечатки в лог до удаления, а не после.
Учёт ведётся отдельно от машин. Журнал ЭЦП — это таблица, где на каждый сертификат заведена строка: владелец, удостоверяющий центр, серийный номер, отпечаток, срок действия, тип носителя, местонахождение токена и перечень информационных систем, которые на нём завязаны. Без такой таблицы вопрос «этот сертификат ещё нужен» решается угадыванием.
Результат чистки зависит от сценария. Ниже — что критично в каждом типичном случае, а что можно отложить.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Увольнение владельца УКЭП | Заявление в удостоверяющий центр, отзыв МЧД, изъятие токена | Порядок в хранилище на его рабочем месте |
| Плановая замена сертификата по сроку | Убрать старый из списка выбора, чтобы его не выбирали по ошибке | Удаление самого контейнера |
| Токен переполнен | Удаление неиспользуемых контейнеров с носителя | Чистка хранилища Windows |
| Подозрение на компрометацию ключа | Немедленное заявление в удостоверяющий центр и выпуск нового ключа | Удаление файлов и записей на машине |
| Передача машины другому сотруднику | Контейнеры и сертификаты в профиле и в хранилище компьютера | Переустановка криптопровайдера |
| Архив подписанных документов за прошлые годы | Сохранение сертификатов подписантов и цепочки удостоверяющего центра | Количество записей в списке «Личное» |
При переводе компании на КЭДО мы в Добыто начинаем с инвентаризации подписей и только потом настраиваем маршруты согласования: заметная часть проблем внедрения возникает не в сервисе, а на рабочих местах, где в хранилище лежит по десятку сертификатов разных лет.
Ошибки при удалении сертификатов и цена каждой
Удаление контейнера вместо сертификата — самая дорогая ошибка. Ключ уничтожается безвозвратно, и если сертификат был действующим, требуется новый выпуск в удостоверяющем центре: идентификация владельца, оформление документов и простой в подписании на всё это время. Для бухгалтерии в отчётный период это означает риск сорвать срок сдачи отчётности, для тендерного отдела — пропущенную заявку.
Вторая по цене ошибка — удаление корневого или промежуточного сертификата ради наведения порядка. Внешне это выглядит как массовый сбой: подписи создаются, но не проверяются, а на площадках появляется ошибка доверия. Восстанавливается быстро, если понимать причину, но диагностика занимает часы, потому что искать начинают в криптопровайдере и в браузере.
Третья ошибка — удалить сертификат и решить, что подпись отозвана. Пока в реестре удостоверяющего центра нет записи о прекращении действия, сертификат остаётся действующим. Копия контейнера на другом компьютере или на второй флешке будет работать, а ответственность за подписанные документы останется на организации.
Важный нюанс из практики: забытый пароль от контейнера не мешает удалению. Пароль запрашивается при использовании ключа, а команда удаления контейнера в КриптоПро CSP выполняется без него. Для форматирования токена целиком понадобится PIN-код администратора носителя, а не пользовательский.
Когда чистить хранилище не нужно
Просроченный сертификат в «Личном» не потребляет ресурсы и не мешает работе: криптопровайдер отбраковывает его при выборе. Если на машине один пользователь, а сертификатов три-четыре, чистка ради чистки создаёт риск больше, чем беспорядок. Реальные поводы взяться за хранилище — переполненный токен, ошибки выбора сертификата при подписании, передача рабочего места другому сотруднику, увольнение владельца ключа и подготовка машины к списанию. В остальных случаях достаточно вести журнал и не устанавливать лишнее.
Стоимость перехода на КЭДО и тарифы Добыто
Стоимость зависит от численности сотрудников и набора функций: виды подписей, шаблоны документов, интеграция с 1С и требования к SLA. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | — |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | — |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций, а УКЭП при необходимости выпускается через партнёрские удостоверяющие центры. Полный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
При повышении или понижении тарифа разница пересчитывается пропорционально оставшемуся периоду, так что стартовать можно с минимальной конфигурации и расширять её по мере перевода подразделений.
Выводы
Чистка сертификатов складывается из двух независимых операций. Первая обратима: запись в хранилище «Личное» удаляется оснасткой, утилитой КриптоПро или консольной командой и восстанавливается из контейнера. Вторая необратима: удаление контейнера уничтожает закрытый ключ, а для ключей на токене восстановление невозможно в принципе. Корневые и промежуточные сертификаты не трогают вообще, а прекращение действия сертификата оформляется заявлением в удостоверяющий центр, а не удалением файлов с диска.
Мы в Добыто ведём учёт подписей и следим за сроками сертификатов на стороне сервиса: при переходе на кадровый электронный документооборот подписи сотрудников выпускаются и обновляются централизованно, а рабочие места перестают обрастать сертификатами прошлых лет.
Частые вопросы
Можно ли вернуть сертификат, если он уже удалён из хранилища «Личное»?
Да, если цел ключевой контейнер. В КриптоПро CSP на вкладке «Сервис» нажмите «Просмотреть сертификаты в контейнере», кнопкой «Обзор» выберите контейнер и завершите мастер: сертификат вернётся в хранилище. Если контейнер удалён или носитель отформатирован, восстановление невозможно, потребуется новый выпуск сертификата в удостоверяющем центре.
Что делать, если пароль от контейнера забыт, а удалить его нужно?
Пароль требуется для использования закрытого ключа, а не для удаления контейнера. Команда «Удалить контейнер» на вкладке «Сервис» выполняется без него. Если нужно очистить токен целиком, потребуется PIN-код администратора носителя: пользовательский PIN для форматирования не подходит, а после нескольких неверных попыток носитель блокируется.
Перестанут ли проверяться документы, подписанные удалённым сертификатом?
Сама подпись остаётся в файле: в контейнере формата CMS хранятся сертификат подписанта, алгоритм хэширования и значение подписи. Проверка сломается по другой причине — если удалить сертификат удостоверяющего центра из хранилищ корневых и промежуточных центров, потому что тогда не строится цепочка доверия.
Сколько сертификатов помещается на одном токене?
На носителе со 128 КБ защищённой памяти помещается до 31 контейнера в формате КриптоПро CSP. Практический предел ниже: один контейнер с цепочкой сертификатов и расширениями удостоверяющего центра занимает до 12 КБ, поэтому реально умещается около десяти рабочих ключей.
Как удалить сертификаты на Linux, если используется КриптоПро CSP?
Работа идёт через консольную утилиту certmgr из состава криптопровайдера, каталог /opt/cprocsp/bin. Команда с ключом -list и указанием хранилища uMy выводит список личных сертификатов пользователя, команда с ключом -delete удаляет выбранный по имени субъекта или отпечатку. Контейнеры перечисляет и удаляет утилита csptest.
Почему после удаления старый сертификат снова появляется в списке?
Три типовые причины: сертификат установлен в хранилище локального компьютера и виден всем пользователям, он подтягивается заново с подключённого токена при обращении приложения к контейнеру, либо список сертификатов закэширован браузером и плагином. Проверьте certlm.msc, отключите носитель и перезапустите приложение.
