КриптоПро и браузер выбирают старый истёкший сертификат вместо нового: как навести порядок
После продления электронной подписи старый и новый сертификаты часто остаются в Windows одновременно. Они могут иметь одинаковые ФИО и организацию, поэтому сайт показывает два почти одинаковых варианта, браузер подставляет истёкший первым, а пользователь получает сообщение о неверном сроке действия. Удалять всё подряд нельзя: сертификат, контейнер закрытого ключа и данные на Рутокене — разные объекты. Сначала запишите отпечаток, срок действия и контейнер нового сертификата, затем работайте только со старой публичной записью.
Коротко: что сделать сразу
- Откройте сертификаты в КриптоПро CSP и сравните даты «Действителен с» и «Действителен по».
- У нового сертификата проверьте сообщение о наличии соответствующего закрытого ключа.
- Запишите последние символы отпечатка старого и нового сертификатов.
- Закройте все окна браузера и повторно откройте сайт после проверки хранилища.
- Не удаляйте контейнеры и не форматируйте Рутокен ради очистки списка.
Почему старый сертификат продолжает появляться
При выпуске новой ЭП удостоверяющий центр обычно создаёт новый сертификат, но не удаляет предыдущий из хранилища Windows. Браузер получает список подходящих сертификатов по назначению, издателю и сроку, а сортировка зависит от сайта и компонента подписи. Если старый сертификат всё ещё находится в «Личном», он может показываться рядом с новым.
Иногда новый сертификат установлен только на токен, а в хранилище пользователя осталась старая запись. Бывает и наоборот: новый сертификат виден в Windows, но не привязан к контейнеру закрытого ключа, поэтому сайт выбирает старый как единственный пригодный для подписи.
Не ориентируйтесь только на ФИО
Два сертификата одного владельца различаются серийным номером, отпечатком, сроком действия и открытым ключом. Для точной диагностики сравнивайте эти поля, а не одинаковое название организации.
Проверяем новый сертификат и закрытый ключ
Откройте «КриптоПро CSP» → вкладка «Сервис» → «Просмотреть сертификаты в контейнере». Выберите считыватель и контейнер новой подписи. В окне сертификата проверьте владельца, срок действия и назначение.
В стандартном окне Windows у рабочего сертификата обычно есть фраза «Есть закрытый ключ, соответствующий этому сертификату». Если её нет, публичный сертификат установлен, но подписывать им нельзя. Тогда нужно установить сертификат из правильного контейнера, а не удалять старый вслепую.
Если контейнеров несколько, сопоставьте их по сертификату и дате выпуска. Не переименовывайте и не копируйте контейнеры во время диагностики.
Проверяем разные хранилища Windows
Сертификаты могут находиться в хранилище текущего пользователя и локального компьютера. Браузер, плагин и отдельная программа могут смотреть в разные места. Обычная пользовательская ЭП чаще хранится в «Личное» текущего пользователя.
Откройте свойства сертификата через КриптоПро и посмотрите, куда он установлен. Не переносите его в «Доверенные корневые центры сертификации»: пользовательский сертификат не является корневым и неправильное размещение не исправляет выбор.
Если на компьютере работают несколько учётных записей, сертификат, установленный в одном профиле, может отсутствовать в другом. Выполняйте проверку под тем пользователем Windows, который подписывает документы.
Сбрасываем старый выбор браузера
Chrome, Edge и другие браузеры могут сохранять выбранный клиентский сертификат до полного закрытия процесса. Закройте все окна, убедитесь через «Диспетчер задач», что браузер завершён, и откройте его заново. Простое обновление вкладки бывает недостаточно.
Очистка обычной истории и файлов cookie не всегда влияет на системный выбор сертификата. Сначала наведите порядок в хранилище, затем перезапустите браузер и плагин КриптоПро. Не удаляйте весь профиль браузера без резервной копии закладок и паролей.
Если сайт имеет собственный список сертификатов в личном кабинете, удаление записи Windows не изменит привязку на стороне сайта. Проверьте настройки пользователя и добавьте новый сертификат по инструкции площадки.
Как безопасно убрать старый сертификат из выбора
Перед удалением экспортируйте старый публичный сертификат без закрытого ключа или сохраните его файл, если он нужен для проверки старых подписей. Запишите отпечаток и убедитесь, что выбран именно истёкший экземпляр.
Удаляйте только сертификат из хранилища «Личное», если подтверждено, что новая ЭП работает и старый не требуется площадке. Не удаляйте контейнер закрытого ключа через КриптоПро и не очищайте токен. Старые подписанные документы проверяются по открытым данным сертификата и цепочке доверия, поэтому архив сертификата может быть полезен.
После удаления закройте оснастку, перезапустите браузер и снова откройте окно выбора. Если старый сертификат возвращается, его повторно устанавливает токен, программа удостоверяющего центра или другой профиль хранилища.
Почему сертификат может дублироваться
Один и тот же сертификат иногда установлен несколько раз: в профиле пользователя, в хранилище компьютера и через фирменное приложение токена. В списке они выглядят одинаково. Сравните отпечатки. Если отпечаток совпадает полностью, это копии одного сертификата; если различается — это разные выпуски.
Не удаляйте копии из неизвестных хранилищ только ради красивого списка. Сначала выясните, какое приложение использует каждое размещение. Бухгалтерская программа может запускаться от имени службы и читать сертификат компьютера, тогда как браузер использует профиль пользователя.
Проверяем цепочку и назначение новой ЭП
Новый сертификат может отображаться, но отклоняться сайтом из-за отсутствующего промежуточного сертификата, неподходящего назначения или ещё не наступившего срока действия. Откройте вкладку «Путь сертификации»: статус должен быть нормальным, а цепочка доходить до доверенного корневого центра.
Проверьте системные дату, время и часовой пояс. Если часы сбиты, новый сертификат может считаться ещё не действующим, а старый — уже истёкшим. Устанавливайте корневые и промежуточные сертификаты только с официального сайта удостоверяющего центра.
Если новая ЭП выпущена на другую организацию, должность или алгоритм, конкретная площадка может требовать дополнительную регистрацию.
Что учитывать при работе с Рутокеном и JaCarta
Не извлекайте токен во время установки сертификата и создания подписи. Если на одном носителе несколько контейнеров, выбирайте их по сертификату, а не по похожему техническому имени.
Удаление сертификата из Windows не удаляет контейнер с токена. И наоборот, удаление контейнера уничтожает доступ к закрытому ключу и обычно необратимо. Для очистки списка почти никогда не требуется форматировать носитель.
Перед любыми операциями убедитесь, что PIN известен и число попыток не исчерпано. Не проверяйте PIN наугад.
Когда лучше остановиться и не экспериментировать
Остановитесь, если новый сертификат не имеет закрытого ключа, контейнер определяется нестабильно, токен просит неизвестный PIN или на компьютере настроены рабочие подписи нескольких организаций. Случайное удаление контейнера может остановить отчётность и доступ к площадкам.
Не удаляйте корневые сертификаты, не очищайте все хранилища и не переустанавливайте КриптоПро до фиксации текущих лицензий, контейнеров и настроек.
Как понять, что проблема решена
- В окне выбора отображается новый сертификат с правильным сроком.
- У него есть соответствующий закрытый ключ.
- Старый истёкший сертификат больше не выбирается автоматически.
- Тестовая подпись создаётся и успешно проверяется.
- После перезапуска браузера результат сохраняется.
Проверьте не только вход на сайт, но и фактическое подписание тестового документа. Авторизация по сертификату и создание ЭП могут использовать разные компоненты.
Частые вопросы
Можно ли удалить старый сертификат после продления?
Можно удалить его запись из «Личное» после проверки новой ЭП, но полезно сохранить публичный сертификат для архива. Контейнер закрытого ключа удалять не нужно.
Почему новый сертификат виден, но не подписывает?
Он может быть не привязан к контейнеру закрытого ключа или иметь проблему с цепочкой доверия.
Почему браузер продолжает показывать старый сертификат?
Браузер мог сохранить выбор до завершения процесса, либо копия сертификата осталась в другом хранилище.
Нужно ли форматировать Рутокен?
Нет. Для удаления старого сертификата из списка форматирование носителя не требуется и может уничтожить ключи.
Читайте также:
Вывод
Старый сертификат появляется потому, что продление добавляет новый выпуск, не удаляя прежний. Сначала подтвердите срок, отпечаток и наличие закрытого ключа у новой ЭП, затем перезапустите браузер и только после успешной подписи убирайте старую запись из нужного хранилища. Контейнеры и токен при этом не удаляют.