CryptoPro: сайт выбирает не тот сертификат или показывает дубликаты. Как навести порядок и вернуть нормальную подпись (2026)

Коротко: почему так происходит

• Windows хранит сертификаты сразу в нескольких местах (для пользователя и для компьютера).
• После перевыпуска старый сертификат часто остаётся в системе.
• Браузер показывает список не из CryptoPro, а из хранилища Windows.
• Иногда сертификат есть, а приватного ключа уже нет, и сайт путается.

Перед началом: как не сделать хуже

Мы будем удалять только то, что действительно лишнее. Но есть правила, которые лучше соблюдать:

• Если подпись единственная и Вы не уверены, что она рабочая, сначала сделайте резервную копию (обычно это делает УЦ или администратор).
• Если сертификат хранится на токене (Рутокен/JaCarta), сам ключ обычно не исчезнет, даже если убрать лишние копии сертификата в Windows.
• Если сертификат программный (в контейнере на диске), удалять без понимания опаснее. Если сомневаетесь, лучше остановиться на диагностике.

Как понять, какой сертификат “правильный”

Обычно правильный сертификат определяется так:

• он не просрочен (срок действия актуальный);
• в нём есть отметка, что есть приватный ключ;
• он соответствует нужной организации/ФИО/ИНН;
• чаще всего он “свежий”, выдан недавно после перевыпуска.

Дальше мы аккуратно добьёмся ситуации, когда в списке выбора остаётся только актуальный сертификат (или хотя бы два, но без “мёртвых” дублей).

1) Проверяем сертификаты через стандартный менеджер Windows (без команд)

Самый понятный для новичка способ — открыть хранилище сертификатов текущего пользователя.

Win + R → вводим certmgr.msc → Enter.

Дальше:

1. Слева откройте «Личное» → «Сертификаты».
2. В правой части найдите сертификаты с Вашим именем/организацией.
3. Откройте каждый двойным кликом и посмотрите:
   • срок действия;
   • назначение (подпись/аутентификация);
   • вкладку «Путь сертификации» (не должно быть явной ошибки доверия);
   • самое важное: внизу обычно есть строка “У вас есть закрытый ключ, соответствующий этому сертификату”. Если её нет, сертификат часто бесполезен для подписи.

Если Вы видите 2-3 сертификата и у одного явно нет приватного ключа — это уже кандидат на удаление, но удаляем позже, когда убедимся окончательно.

2) Проверяем, не лежат ли дубли в хранилище компьютера (LocalMachine)

Иногда сертификаты попадают не только “для пользователя”, но и “для компьютера”. Тогда браузер может показывать лишнее.

Важно: этот шаг требует прав администратора.

Командная строка (Администратор). Команду вставить целиком:

mmc.exe

Дальше в открывшейся консоли:

1. Меню «Файл» → «Добавить или удалить оснастку».
2. Выберите «Сертификаты» → «Добавить».
3. Выберите «Учетная запись компьютера» → «Локальный компьютер» → «Готово».
4. Откройте «Личное» → «Сертификаты» и посмотрите, нет ли там копий того же сертификата.

Если в LocalMachine лежит старый сертификат, а у пользователя новый, некоторые сайты/компоненты реально могут путаться.

3) Проверяем контейнеры в CryptoPro: есть ли ключи и не “оторвался” ли сертификат

Откройте CryptoPro CSP → вкладка «Сервис».

• Откройте «Просмотреть контейнеры» и убедитесь, что контейнер(ы) видны.
• Потом откройте «Просмотреть сертификаты в контейнере» и проверьте, что актуальный сертификат действительно находится в контейнере.

Почему это важно: Windows может показывать красивый сертификат, но если он не привязан к контейнеру или контейнер не читается, подпись будет “через раз” или не будет вовсе.

4) Быстрый тест: список контейнеров через csptest

Этот шаг помогает быстро понять, видит ли CryptoPro ключи нормально.

Командная строка (Администратор). Команду вставить целиком:

csptest -keyset -enum_cont

Если контейнеры не выводятся или есть ошибки чтения, сначала решаем проблему с токеном/драйвером, а уже потом чистим сертификаты.

Официальные страницы драйверов (скачивать только оттуда):

• Рутокен: загрузки
• JaCarta: загрузки

5) Убираем “мёртвые” дубликаты: аккуратная чистка

Сначала чистим самое безопасное: сертификаты, которые точно не используются.

Что обычно можно удалить без боли:

• просроченные сертификаты, которые точно старые и уже не применяются;
• сертификаты без приватного ключа (если у Вас есть второй, рабочий, с ключом);
• дубликаты одного и того же сертификата в одном хранилище (иногда копируется два раза).

Как удалять правильно (через certmgr.msc):

1. Откройте certmgr.msc.
2. «Личное» → «Сертификаты».
3. Правой кнопкой по ненужному сертификату → «Удалить».
4. Перезапустите браузер и проверьте выбор сертификата на сайте.

Если дубликаты есть в LocalMachine: удаляйте их только если уверены, что они не требуются для рабочих задач на этом ПК. В сомнительных случаях лучше ограничиться хранилищем текущего пользователя.

6) Если сайт всё равно берёт не тот: наводим порядок в браузере

Большинство современных браузеров (Chrome, Edge, Яндекс) берут сертификаты из хранилища Windows. Поэтому после чистки важно:

• полностью закрыть браузер (включая фоновые процессы);
• открыть заново и зайти на сайт.

Если браузер упрямо показывает старый список, сделайте так:

1. Закройте браузер.
2. Откройте Диспетчер задач и убедитесь, что процессов браузера не осталось.
3. Подключите токен заново (лучше в другой USB-порт, без хабов).
4. Откройте браузер и повторите попытку.

Ещё важный момент: иногда сайт запоминает выбор сертификата в рамках сессии. Тогда помогает выход из аккаунта на сайте и повторный вход.

7) Переустановка CryptoPro: когда она действительно нужна

Если у Вас:

• контейнеры не перечисляются через csptest;
• CryptoPro CSP открывается с ошибками;
• после обновления Windows подпись ломается на всех сайтах;

тогда можно переустановить CryptoPro.

Скачивать только с официального сайта:

• CryptoPro CSP: официальные загрузки

Обычно порядок такой:

1. Удалить CryptoPro через «Программы и компоненты».
2. Перезагрузить ПК.
3. Установить CryptoPro заново.
4. Подключить токен и проверить контейнеры.