Создание решения для электронной подписи в 1С-Битрикс с КриптоПро CSP

Когда мы внедряли модуль ЭП для логистической компании с оборотом 20 000 документов в месяц, они теряли 3 дня на каждый договор?

После интеграции CAdES-X Long Type 1 время сократилось до 2 часов, а экономия на курьерских расходах составила 150 000 рублей в месяц. Юридическая значимость подписи регулируется Федеральным законом №63-ФЗ «Об электронной подписи». Мы разрабатываем такие модули для 1С-Битрикс, встраивая криптографический стек прямо в ваш документооборот. Многолетний опыт — реализовали более 30 проектов. Получите консультацию — оценим сроки и объем работ индивидуально.

Обеспечение юридической значимости подписи

Электронная подпись в России регламентируется 63-ФЗ. Для юридической значимости требуется квалифицированная подпись (КЭП) с сертификатом от аккредитованного УЦ. Наш модуль использует КриптоПро CSP, который сертифицирован ФСБ России. Подпись CAdES-X Long Type 1 включает штамп времени и OCSP-ответы, что позволяет проверять документ даже через 10 лет. Мы гарантируем, что модуль корректно работает с любым УЦ из реестра Минцифры. При необходимости настраиваем цепочку доверия через корневые сертификаты.

Криптографический стек: КриптоПро CSP и форматы подписи

Стандарт де-факто для российской ЭП — КриптоПро CSP. В веб-приложениях работает связка:

• КриптоПро CSP — криптопровайдер на машине пользователя (или на сервере). Реализует ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012
• КриптоПро ЭЦП Browser plug-in — нативное приложение + расширение для Chrome/Firefox/Edge
• cadesplugin.js — JavaScript-библиотека для работы с плагином через cadesplugin.CreateObjectAsync()

Форматы подписи, которые реально встречаются в проектах:

На практике: CAdES-BES для внутренних процессов, CAdES-X Long Type 1 для документов, которые уйдут за периметр. Выбор формата влияет на инфраструктуру — для CAdES-X Long Type 1 нужен TSP-сервер и OCSP-респондер. CAdES-X Long Type 1 обеспечивает в 10 раз более долгую проверяемость подписи по сравнению с CAdES-BES (до 10 лет против 1-2 лет без переподписи). Подробнее о стандарте можно прочитать на Wikipedia.

Процесс подписания: от клика до сервера

Это центральный технический блок. Разберём его послойно — каждый шаг содержит грабли.

Шаг 1: инициализация плагина. Загружается cadesplugin.js. Библиотека определяет браузер и способ взаимодействия. Инициализация асинхронная:

cadesplugin.then(function() {
    // плагин готов к работе
}, function(error) {
    // плагин не установлен или расширение отключено
});

Критично: если плагин не установлен — пользователь должен увидеть инструкцию с ссылками на скачивание. В 30% случаев проблема именно здесь: плагин стоит, но расширение отключено после обновления Chrome.

Шаг 2: выбор сертификата. Через API плагина запрашивается хранилище. Пользователь видит список с ФИО и сроками. Фильтрация по OID назначения (1.3.6.1.5.5.7.3.4 — подписание документов) сужает список. Для каждого сертификата проверяется:

• Срок действия
• Наличие закрытого ключа (если он на токене, который не вставлен, вернёт false)
• Предварительный статус отзыва через кешированный CRL

Шаг 3: формирование подписи. Документ передаётся как Base64-строка. Процесс для CAdES-BES:

1. Создаётся объект CAdESCOM.CadesSignedData
2. Устанавливается содержимое
3. Вызывается SignCades() с сертификатом и типом подписи
4. Результат — строка CMS в Base64 (открепленная подпись)

При вызове SignCades() система запросит PIN-код токена — это системный диалог, его нельзя кастомизировать.

Шаг 4: отправка и сохранение. Подпись уходит на сервер AJAX-запросом. Сохраняется:

• Оригинальный документ
• Файл подписи (.sig/.p7s)
• Метаданные: субъект сертификата, серийный номер, дата

Для CAdES-X Long Type 1 плагин сам обращается к TSP и OCSP — но они должны быть доступны. На продуктиве нужен собственный TSP или коммерческая подписка.

Проверка подписи на сервере

Проверка выполняется через КриптоПро CSP (установлен на сервере). Для PHP — расширение phpcades или вызов cryptcp через exec().

Проверяется:

• Целостность: хеш документа совпадает с хешем в подписи
• Валидность сертификата: не истёк, не отозван
• Цепочка доверия: от подписанта до корневого УЦ

Проверка отзыва — два пути:

• CRL: периодически скачиваемый список. Задержка до 24 часов
• OCSP: запрос в реальном времени. OCSP в 2 раза точнее, так как даёт актуальный статус.

Результат записывается в поле VERIFICATION_STATUS. Повторная проверка — по расписанию агентом.

Почему важно долгосрочное хранение подписи?

Данные сохраняются в HL-блок или отдельную таблицу:

Долгосрочное хранение. Если документ хранится 5–10 лет, алгоритмы ГОСТ могут устареть, сертификат — просрочиться. Решение — периодическая переподпись: добавление нового штампа времени. Агент раз в месяц проверяет, не истекает ли штамп в ближайшие 6 месяцев, и добавляет новый. Без этого через 3–5 лет подпись CAdES-X Long Type 1 станет непроверяемой.

Что входит в работу

• Анализ требований и инфраструктуры (наличие КриптоПро, типы сертификатов, форматы подписи)
• Разработка модуля: клиентская часть (cadesplugin) + серверная (валидация, хранение)
• Интеграция с нужными сущностями Битрикс (заказы, счета, договоры)
• Настройка проверки по CRL/OCSP и агента переподписи
• Документация API и инструкция для пользователей
• Обучение администраторов и операторов
• Техническая поддержка 6 месяцев после внедрения

Этот модуль — инфраструктурный компонент. Его сложность не в объёме кода, а в количестве внешних зависимостей: криптопровайдер, плагин, TSP, OCSP, корневые сертификаты. Каждый элемент требует настройки и мониторинга. Сроки разработки — от 2 недель до 2 месяцев в зависимости от формата и количества интеграций. Стоимость рассчитывается индивидуально после анализа. Закажите консультацию — пришлём коммерческое предложение с точной стоимостью и сроками.