Электронная трудовая книжка не открывается по трём разным причинам, и надпись про сбой связи в интерфейсе описывает только одну из них — разрыв канала между рабочим местом и сервисом. Первое действие администратора занимает две минуты: воспроизвести ошибку из другой сети, например с мобильного интернета. Если оттуда всё открывается, разбирать надо корпоративный периметр, а не сервисы Социального фонда России. Дальше маршрут расходится по роли пользователя: работник смотрит сведения о трудовой деятельности через личный кабинет на Госуслугах, и там ломается уровень учётной записи и обычного HTTPS, а работодатель работает через кабинет страхователя, 1С и систему КЭДО, где к сети добавляются криптопровайдер, сертификат и проверка статуса отзыва.
Разберём диагностику по трём контурам: сеть и TLS, криптография рабочего места, права и данные. Покажем, какие настройки прокси и файрвола ломают соединение по ГОСТ и проверку сертификата, оставляя при этом сам сайт доступным, и как отличить это от ситуации, когда сведений в электронной трудовой книжке действительно нет. Таблица соответствия симптома и контура, пошаговая инструкция локализации, разбор различий ПЭП, УНЭП и УКЭП, стоимость подключения КЭДО и ответы на частые вопросы — во второй половине статьи.
Где именно ломается доступ к электронной трудовой книжке
Сведения о трудовой деятельности по статье 66.1 ТК РФ хранятся в информационной системе Социального фонда России, а не в вашей инфраструктуре. Локально у вас находятся четыре вещи: канал до сервиса, криптопровайдер с сертификатом, учётные данные и данные кадрового учёта в 1С или в системе КЭДО. Сообщение об ошибке соединения выдают все четыре слоя, потому что интерфейсы почти никогда не различают отказ транспорта и отказ криптографии — для веб-приложения обрыв TLS-сессии и отклонённый сертификат выглядят одинаково.
Начинайте с разделения контуров. Таблица ниже собрана по типовым обращениям и сопоставляет наблюдаемый симптом с контуром, в котором стоит копать первым.
| Симптом | Контур | Что проверять первым |
|---|---|---|
| Портал открывается, раздел с трудовой пустой | Данные и учётная запись | Подтверждена ли учётная запись, сдан ли подраздел 1.1 формы ЕФС-1 по этому работнику |
| Ошибка соединения только в офисе, с мобильного интернета всё работает | Корпоративный периметр | Прокси с расшифровкой трафика, списки разрешённых доменов, маршрут через VPN |
| Сайт открывается, вход по сертификату не проходит | Криптография клиента | Версия КриптоПро CSP, плагин и расширение в браузере, драйверы носителя |
| Сообщение о невозможности проверить статус сертификата | Доступ к спискам отзыва | Исходящий доступ к точкам распространения CRL и к службе OCSP |
| Браузер сообщает о недоверенном сертификате сервера | Цепочка доверия и ГОСТ TLS | Корневые сертификаты Минцифры, поддержка ГОСТ в браузере, системное время |
| Кабинет открывается, но обмен из 1С или КЭДО падает | Интеграция и учётные данные | Сертификат страхователя в настройках обмена, срок его действия, права роли |
Три верхние строки закрываются силами администратора за час. Две нижние требуют участия бухгалтерии или кадровой службы: без них вы не узнаете, каким сертификатом подписывалась последняя отправка и когда её принимали.
Сетевой контур: прокси, время и доступ к службам проверки
Корпоративный периметр ломает работу с государственными сервисами тремя способами, и все три не мешают открыть сайт в браузере. Первый — расшифровка TLS на прокси. Шлюз подменяет сертификат сервера своим, клиентская аутентификация по сертификату при этом перестаёт работать в принципе: сервер не видит ваш ключ, а видит ключ прокси. Второй — блокировка исходящего HTTP на порт 80. Списки отзыва сертификатов и служба OCSP публикуются именно по HTTP, и когда админ закрывает 80-й порт целиком, проверка статуса сертификата отваливается по таймауту. Третий — расхождение системного времени. Рассинхронизация часов на минуты ломает и установление TLS-сессии, и проверку подписи: сертификат выглядит ещё не действующим или уже просроченным.
Факт: для штатной работы с квалифицированной подписью на рабочем месте нужен полный комплект: драйверы ключевого носителя, КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, плагин КриптоПро ЭЦП Browser Plug-in, расширение крипто-плагина в браузере, корневые сертификаты Минцифры России и удостоверяющего центра, а также личный сертификат, установленный из контейнера. Отсутствие любого элемента даёт ошибку, похожую на сетевую.
Отдельная категория отказов относится к соединениям по отечественным криптоалгоритмам. Часть государственных ресурсов защищена сертификатами, выпущенными национальным удостоверяющим центром Минцифры: он выпускает и RSA-сертификаты, и сертификаты по ГОСТ. Обычный браузер без поддержки российской криптографии такое соединение не установит, поэтому для машин, работающих с ГОСТ-ресурсами, нужен либо браузер с поддержкой ГОСТ, либо криптопровайдер вместе с корневыми сертификатами Минцифры, которые ставятся в том числе через Госуслуги. Проверить, что именно требуется конкретному сервису, проще всего по сертификату сервера в свойствах соединения.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда админ закрывает исходящий трафик по принципу «оставим только 443», сервисы с подписью начинают вести себя странно: страница открывается, а операция подписания висит и падает по таймауту. Причина обычно в том, что криптопровайдер не может дотянуться до списка отзыва и до службы штампов времени. Перед тем как звонить в поддержку сервиса, откройте на проверочной машине адреса точек распространения CRL прямо из свойств сертификата — если они недоступны, проблема ваша, а не сервиса.»
Как локализовать сбой соединения с электронной трудовой книжкой: пошаговая инструкция
- Шаг 1. Зафиксируйте точную формулировку ошибки и время. Скриншот интерфейса без кода ошибки для разбора бесполезен.
- Шаг 2. Повторите операцию из другой сети — с мобильного интернета или гостевого сегмента. Успех означает, что дело в периметре.
- Шаг 3. Проверьте, воспроизводится ли отказ на другом рабочем месте и под другой учётной записью. Если ошибка только у одного пользователя, сеть ни при чём.
- Шаг 4. Сверьте системное время и часовой пояс на проблемной машине с эталонным источником.
- Шаг 5. Откройте свойства сертификата, найдите точки распространения списков отзыва и адрес службы OCSP, проверьте доступность каждого адреса с этой машины.
- Шаг 6. Убедитесь, что криптопровайдер, плагин и расширение браузера установлены и включены, а личный сертификат виден в контейнере.
- Шаг 7. Если предыдущие шаги результата не дали, соберите журналы клиента и обращения к сервису за период сбоя и передавайте вопрос в поддержку сервиса вместе с ними.
Важный нюанс из практики: шаги 2 и 3 разводят обращение по двум разным маршрутам ещё до глубокой диагностики. Если сбой воспроизводится у всех пользователей и из любой сети — это сторона сервиса, и дальнейшая настройка рабочих мест только съест время. При подключении Добыто мы прогоняем эти же семь шагов на пилотной группе до раскатки на всю компанию, потому что периметр у каждой компании ломает подписание по-своему.
Криптография рабочего места: провайдер, носитель, лицензия
Ошибки уровня криптопровайдера маскируются под сетевые чаще всего. Сначала определите режим ключа. КриптоПро CSP версии 4.0 умеет работать только с извлекаемыми ключами — носитель для него просто защищённое пин-кодом хранилище. Начиная с версии 5.0 провайдер работает и с неизвлекаемыми ключами, когда подпись формируется на борту токена и закрытый ключ наружу не выходит. Если ключ создан в формате неизвлекаемого контейнера, а на машине стоит старая версия провайдера, вход по сертификату не пройдёт, и текст ошибки не скажет об этом ни слова.
Лайфхак: ключи формата PKCS#11 в КриптоПро CSP 5.0 R2 конфликтовали со входом в систему и с подключением по RDP. В версии 5.0 R3 работу через PKCS#11 свели в один объект считывателя, и сценарии удалённого доступа заработали без дополнительных настроек. Если сбой воспроизводится только в RDP-сессии, начните с версии провайдера.
Второй частый источник отказов — лицензия. В рамках эксперимента удостоверяющего центра ФНС России лицензия на КриптоПро CSP вшивается внутрь сертификата и действует ровно столько, сколько действует сам сертификат. Пока сотрудник работает своим ключом, отдельная лицензия на машине не нужна. Как только на этом же рабочем месте пробуют использовать другой ключ, выданный иным удостоверяющим центром, требуется полная лицензия на провайдер, и до её ввода операции подписания будут прерываться.
Корневые сертификаты и цепочка доверия
Цепочка доверия собирается из трёх звеньев: корневой сертификат Минцифры России, сертификат удостоверяющего центра и личный сертификат пользователя. Корневые сертификаты публикуются на ресурсах удостоверяющих центров, у УЦ ФНС России они размещены по адресу uc.nalog.ru/crt. Устанавливать их нужно в разные хранилища: сертификат Минцифры России — в доверенные корневые центры сертификации, сертификат удостоверяющего центра — в промежуточные. Установка обоих файлов в одно хранилище даёт ровно ту же ошибку недоверия, что и их отсутствие.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Отдельный сценарий — сообщение об устаревших корневых сертификатах при обмене с сервисами Социального фонда России. Оно появляется, когда корневые сертификаты российских удостоверяющих центров в системе не установлены или установлены давно и уже неактуальны. Лечится обновлением криптопровайдера до последней сертифицированной версии с обязательной установкой компонента корневых сертификатов, после чего сертификат страхователя переустанавливают средствами провайдера.
Почему сервис не может проверить статус сертификата
Проверка отзыва — это отдельный сетевой запрос, который выполняется в момент операции. Клиент скачивает список отзыва по адресу из сертификата либо обращается к службе OCSP. При недоступности обоих механизмов проверка завершается ошибкой, и подпись считается непроверенной, даже если сертификат действителен. В крупных сетях этот запрос чаще всего блокирует не файрвол, а прокси, требующий авторизации: криптопровайдер идёт напрямую и авторизацию не проходит.
Мария Ж, юрист со стажем более 20 лет: «Разделяйте две разные ситуации: подпись невалидна и статус подписи не удалось проверить. В первом случае документ действительно испорчен или подписан отозванным сертификатом. Во втором случае с документом всё в порядке, а не хватает сетевого доступа к спискам отзыва. Перед эскалацией прогоните файл через независимый сервис проверки с другой машины — это за минуту отделяет одно от другого.»
Проверьте подпись на выгруженном документе
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Проверка исходного файла вместе с файлом подписи показывает подписанта, серийный номер сертификата, издателя и результат проверки статуса. В сервисе Добыто результат такой проверки выгружается отдельным протоколом, который можно приложить к заявке в поддержку вместо пересказа ошибки словами.
ПЭП, УНЭП и УКЭП: чем они отличаются и что ломается у каждой
Три вида электронной подписи из 63-ФЗ от 06.04.2011 различаются механизмом и юридической силой, и путать их нельзя даже в разговоре с пользователем: у каждой ломается своё. Простая подпись (ПЭП) подтверждает лицо через логин, пароль и коды, криптографии в ней нет вовсе. Усиленная неквалифицированная (УНЭП) уже строится на криптографических ключах, но её сертификат не обязан быть выдан аккредитованным удостоверяющим центром. Усиленная квалифицированная (УКЭП) требует квалифицированного сертификата, сертифицированного криптопровайдера и полной цепочки доверия.
| Вид подписи | Как устроена | Где выдаётся работнику | Типовая точка отказа |
|---|---|---|---|
| ПЭП | Логин, пароль и одноразовые коды, лицо определяется по соглашению сторон | В системе КЭДО работодателя или через инфраструктуру электронного правительства | Недоставленный код, рассинхронизация учётной записи, отсутствие подписанного соглашения |
| УНЭП | Криптографические ключи, порядок проверки определяется соглашением сторон | Система КЭДО работодателя либо инфраструктура электронного правительства | Недоступность мобильного приложения, срок действия ключа, смена номера телефона |
| УКЭП | Квалифицированный сертификат, сертифицированный криптопровайдер, ключ на носителе или в облаке | Аккредитованный удостоверяющий центр, для руководителя организации — удостоверяющий центр ФНС России | Версия и лицензия провайдера, драйверы носителя, цепочка доверия, доступ к спискам отзыва |
Для администратора практический вывод простой: чем выше вид подписи, тем больше внешних зависимостей у рабочего места. Отказ ПЭП решается в личном кабинете пользователя, отказ УКЭП почти всегда упирается в софт и сеть.
Требования к тому, какая подпись где допустима, задаёт статья 22.3 ТК РФ. При заключении трудового договора, договора о материальной ответственности и ученического договора через информационную систему работодателя работодатель применяет только УКЭП. Работник в этих случаях вправе использовать УНЭП, порядок проверки которой определён соглашением сторон, УНЭП, выданную с использованием инфраструктуры электронного правительства, либо ПЭП при наличии соглашения об определении лица по его подписи. В практике Добыто именно рассогласование между тем, что записано в положении о КЭДО, и тем, какие подписи фактически выданы сотрудникам, даёт основную часть спорных обращений, которые в тикете выглядят как технический сбой.
Полезно знать: встроенная криптография на токене не заменяет установленный на компьютере КриптоПро CSP. Если информационная система требует именно этот криптопровайдер, его нужно установить на рабочее место и активировать лицензию, даже когда ключ у пользователя неизвлекаемый.
Что скачать для настройки и разбора инцидента
Комплект рабочих файлов для администратора и кадровой службы: начните с чек-листа диагностики, он структурирует обращение до эскалации.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи | Скачать |
| Чек-лист настройки КЭДО в 1С:ЗУП | Скачать |
| Матрица прав и ролей КЭДО в 1С:ЗУП | Скачать |
| Реестр сертификатов сотрудников | Скачать |
Когда это вообще не сбой связи
Часть обращений закрывается без единой сетевой настройки, потому что данных в системе нет по существу. Сведения о трудовой деятельности ведутся в электронном виде с 2020 года, и записи о более ранних периодах в выписке не появятся: за них по-прежнему отвечает бумажная трудовая книжка. Работник, который не подавал заявление о продолжении ведения бумажной книжки или о переходе на электронную, тоже увидит не тот состав данных, который ожидал. Порядок получения выписки из электронной трудовой книжки описан на портале Госуслуг в описании услуги выписка из электронной трудовой книжки, и это первое, что стоит показать пользователю до разбора техники.
Вторая типовая причина — задержка появления записи. Работодатель отправляет сведения подразделом 1.1 формы ЕФС-1, и по приёму и увольнению срок жёсткий: не позднее рабочего дня, следующего за днём издания приказа. Если приказ издан сегодня, а сотрудник проверяет выписку через час, отсутствие записи не означает сбоя. Актуальные сроки и порядок исправления ошибок по кодам публикует Социальный фонд России в базе знаний по представлению формы ЕФС-1.
Внимание: сообщение об ошибке при отправке в Социальный фонд России не всегда сетевое. Оно появляется и тогда, когда ГОСТ-сертификат сервиса не соответствует выбранному в настройках криптопровайдеру, и когда провайдер не может получить закрытый ключ из контейнера. Обе ситуации лечатся на рабочем месте, а не на маршрутизаторе.
Когда переход на КЭДО не закроет вопрос
Система кадрового электронного документооборота не заменяет отчётность в Социальный фонд России и не хранит электронную трудовую книжку. Она снимает бумажный оборот внутри компании: приказы, заявления, ознакомления с локальными нормативными актами, договоры. Сведения о трудовой деятельности всё равно уходят в фонд формой ЕФС-1, а работник всё равно получает выписку через личный кабинет. Если ваша задача — только устранить разовый обрыв соединения у одного бухгалтера, внедрение КЭДО эту задачу не решает и решать не должно.
Кейс из практики: в проектах, где кадровый учёт живёт в 1С:ЗУП, около трети обращений вида «ничего не работает» закрывается матрицей прав и ролей: у пользователя нет роли на подписание или на обмен, а интерфейс сообщает об ошибке соединения. Проверка роли занимает пару минут и экономит день разбирательств с сетью.
Цена простоя: сроки, штрафы и стоимость неверной диагностики
Сбой, растянутый на сутки, стоит дороже, чем кажется по тикету. Пропуск срока по подразделу 1.1 формы ЕФС-1 при приёме или увольнении даёт основание для штрафа по части 1 статьи 15.33.2 КоАП РФ — от 300 до 500 рублей на должностное лицо, и для финансовой санкции по статье 17 Федерального закона № 27-ФЗ — 500 рублей за каждое застрахованное лицо, по которому сведения не поданы. При массовом приёме на 200 человек арифметика перестаёт быть символической.
Вторая часть цены — неверно выбранное направление диагностики. Настройка прокси, замена сетевого оборудования и переустановка провайдера на всех машинах при проблеме на стороне одного сертификата съедают рабочий день администратора и останавливают оформление сотрудников. Поэтому шаг с воспроизведением из другой сети идёт вторым, а не десятым: он стоит две минуты и отсекает половину гипотез.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы держим у клиентов актуальный реестр сертификатов сотрудников с датами окончания и заранее готовим замену. Массовые обращения про сбой связи почти всегда приходят волной за одну-две недели до истечения срока действия партии сертификатов, выпущенных одновременно. Заведите такой реестр и поставьте напоминание за 30 дней до окончания — это дешевле аварийного перевыпуска.»
Важный нюанс из практики: у ключевого носителя есть предел ёмкости. На токене с 128 килобайтами защищённой памяти помещается до 31 контейнера в формате извлекаемых ключей, а один контейнер с полной цепочкой сертификатов занимает до 12 килобайт. Когда бухгалтер несёт «сломавшийся» токен с десятком ключей от разных систем, причина отказа записи нового сертификата бывает именно в этом.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: числа доступных видов подписи, интеграции с 1С и требований к поддержке.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | период — год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | по мере подключения |
| УКЭП через партнёров-удостоверяющих центров | по запросу | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП (тариф «Бизнес») | входит в тариф | установка и настройка за 1 день |
Итоговый счёт складывается из численности, выбранного тарифа и потребности в отдельных видах подписи: электронные подписи ПЭП и УНЭП для сотрудников выпускаются на всех тарифах без отдельной оплаты, а УКЭП оформляется через партнёров-удостоверяющих центров. Актуальные условия по каждому тарифу и состав функций опубликованы на странице тарифов ДОБЫТО КЭДО.
Смена тарифа возможна в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду. Для инфраструктуры это означает, что пилот на одном подразделении не запирает вас в тарифе при раскатке на всю компанию.
Выводы
Сообщение о сбое связи при обращении к электронной трудовой книжке описывает не причину, а симптом. Разделение на три контура — сеть, криптография рабочего места, данные и права — закрывает большинство обращений за час, а воспроизведение ошибки из другой сети и с другой учётной записи отсекает половину гипотез в самом начале. Помните, что часть обращений вообще не техническая: записи до 2020 года в выписке не появятся, а сведения по приёму и увольнению доходят до фонда в срок до следующего рабочего дня.
Мы в Добыто настраиваем кадровый документооборот так, чтобы точки отказа были видны заранее: реестр сертификатов с датами окончания, матрица прав и ролей в 1С:ЗУП, протокол проверки подписи по каждому спорному документу. Такой набор превращает разбор инцидента из спора между кадровой службой и администратором в короткую процедуру с понятным результатом.
Частые вопросы
Электронная трудовая книжка не открывается только у части сотрудников. С чего начать?
Сравните проблемные и рабочие учётные записи по трём параметрам: подтверждена ли учётная запись на портале, из какой сети работает пользователь и какой вид подписи ему выдан. Если различие только в сети, разбирайте периметр, если только в подписи — проверяйте срок действия сертификата и версию криптопровайдера на конкретной машине.
Сайт открывается, а подписание падает. Может ли антивирус или прокси быть причиной?
Да, и это одна из самых частых причин. Прокси с расшифровкой трафика подменяет сертификат сервера, из-за чего клиентская аутентификация по сертификату не проходит. Антивирус с проверкой защищённых соединений действует так же. Проверка простая: временно вывести машину из-под прокси и повторить операцию.
После переустановки Windows подпись перестала работать, хотя сертификат тот же. Почему?
Помимо переустановки криптопровайдера, драйверов носителя и плагина, нужно заново установить личный сертификат из контейнера и корневые сертификаты в правильные хранилища. Если ключ выдан не удостоверяющим центром ФНС России, лицензия провайдера в сертификате не зашита и её придётся вводить отдельно.
Что такое единица измерения или тип подписки УКЭП?
Таких понятий не существует. У квалифицированной подписи есть срок действия сертификата, ключевой носитель и лицензия на криптопровайдер. Подписки в смысле помесячной оплаты у самой подписи нет, помесячно тарифицируется сервис документооборота, а сертификат выпускается на срок, определённый удостоверяющим центром.
Нужна ли работнику УКЭП, чтобы подписывать кадровые документы?
Не во всех случаях. По статье 22.3 ТК РФ при заключении трудового договора через информационную систему работодателя работник вправе использовать УНЭП с порядком проверки по соглашению сторон, УНЭП из инфраструктуры электронного правительства либо ПЭП при наличии соглашения об определении лица по его подписи. УКЭП обязательна для работодателя.
Как отличить техработы на стороне сервиса от проблемы у нас?
Проверьте воспроизводимость на трёх осях: другая сеть, другое рабочее место, другая учётная запись. Отказ во всех трёх случаях и одновременные обращения от нескольких организаций указывают на сторону сервиса. Зафиксируйте время и текст ошибки: без них разбор в поддержке начнётся с нуля.
Данные ушли из 1С, но в выписке работника их нет. Это сбой?
Сначала посмотрите протокол отправки и код ошибки по конкретному пакету: сведения могли быть отклонены при приёме. Если отправка принята, учитывайте срок обработки и то, что по приёму и увольнению работодатель обязан подать сведения не позднее рабочего дня, следующего за днём издания приказа, а отображение в личном кабинете происходит после обработки на стороне фонда.
