КриптоПро и ошибка 0x80092013: как найти сбой проверки отзыва

Кнопка подписания работала вчера, а сегодня приложение показывает 0x80092013: сервер отзыва сертификатов недоступен. Начните с точного текста ошибки. Это сообщение означает, что проверка статуса отзыва не смогла получить необходимый результат; оно само по себе не подтверждает отзыв сертификата.

Ниже — маршрут диагностики рабочего места Windows с КриптоПро. Его задача — найти участок сбоя и собрать полезные сведения, прежде чем менять установленное ПО.

Развилка первая: ошибка действительно про отзыв?

Сохраните полный код и название приложения, в котором возникло сообщение. Не объединяйте в одну проблему отсутствие доверия к корневому сертификату, истечение срока действия и недоступность сведений об отзыве: это разные результаты проверки. Если код отличается от 0x80092013, сначала разбирайте именно его.

В условном примере сотрудник видит эту ошибку только на одном портале. Из этого ещё нельзя сделать вывод, что сломался токен или что виноват портал. Важно понять, где выполняется неудачная проверка — на компьютере пользователя или на сервере системы. Если сообщение формируется сервером, изменение настроек локального компьютера может ничего не изменить.

Развилка вторая: есть ли данные для сетевой проверки?

Откройте сведения о выбранном сертификате и найдите данные об издателе и точках распространения списков отзыва — CRL Distribution Points. Запишите адреса для администратора. Проверка цепочки может затрагивать несколько сертификатов, поэтому одного доступного адреса из личного сертификата недостаточно, чтобы объявить весь маршрут исправным.

В Windows для диагностики адресов сертификата предусмотрена утилита certutil. Если у вас уже есть экспортированный сертификат в файле CER, можно открыть окно проверки его адресов:

certutil -URL "C:\Temp\signer.cer"

Замените путь на фактическое расположение своего CER. В окне доступны проверки адресов, содержащихся в сертификате. Передайте специалисту, какой именно адрес не отвечает и какое сообщение получено. Не подставляйте вместо CER контейнер закрытого ключа или PFX.

Развилка третья: адрес доступен, но приложение по-прежнему ошибается

Результат из вашего сеанса Windows — диагностическая зацепка. У службы или другого приложения могут быть иные условия сетевого доступа. Сообщите администратору, под какой учётной записью работает проблемный процесс, используется ли корпоративный прокси и воспроизводится ли ошибка у других сотрудников. Настройки прокси и межсетевого экрана меняет ответственный специалист после проверки конкретных адресов.

Дополнительный вариант проверки сертификата и его цепочки с обращением к сетевым ресурсам:

certutil -verify -urlfetch "C:\Temp\signer.cer"

Это средство диагностики сертификата, а не проверка подписи конкретного документа. Вывод может содержать несколько ошибок. Сохраните его для разбора и не считайте одну успешную строку подтверждением исправности всей операции подписания.

Что должно попасть в обращение в поддержку

• Полный код ошибки, время возникновения и название сервиса.
• Версии Windows, КриптоПро CSP и приложения, выполняющего операцию.
• Издатель сертификата и конкретный недоступный адрес из результатов диагностики.
• Место выполнения проверки: рабочее место или сервер, если это уже установлено.
• Что происходило до сбоя: смена сети, перевыпуск сертификата, обновление ПО.

В передаваемых снимках и журналах закройте посторонние персональные и служебные данные. PIN, закрытый ключ и пароли в такое обращение не включаются.

После устранения причины повторите исходную операцию и оцените результат в том приложении, где произошёл сбой. Не отключайте проверку отзыва ради исчезновения сообщения: цель — восстановить получение достоверного статуса, а не убрать контроль из процесса.