Как выгрузить сертификат из КриптоПро без закрытого ключа

Иногда портал, контрагент или администратор просит прислать файл сертификата электронной подписи. Для этого нужен открытый сертификат, а не копия закрытого ключа. В «Инструментах КриптоПро» есть отдельная команда экспорта сертификата: она сохраняет сертификат в файл без связанного с ним ключа подписи.

Чем файл сертификата отличается от ключа

Сертификат содержит открытый ключ и сведения о владельце, издателе и сроке действия. Его используют для проверки подписи и идентификации сертификата. Закрытый ключ хранится в контейнере на носителе или в другом разрешённом хранилище и нужен для создания подписи. Файл сертификата сам по себе не даст возможности подписывать документы на другом компьютере.

Учитывайте, что открытый сертификат может содержать персональные и организационные данные. Передавайте его только тому адресату, которому он действительно нужен, и проверяйте правильность выбранной записи.

Как выгрузить сертификат в КриптоПро CSP 5.0

1. Откройте «Инструменты КриптоПро» под своей учётной записью Windows и перейдите на вкладку «Сертификаты». По умолчанию здесь показано хранилище «Личное» текущего пользователя.
2. Найдите нужный сертификат. Если записей несколько, сравните владельца, издателя, срок действия и отпечаток в свойствах сертификата. Старый и новый сертификаты одного владельца могут выглядеть почти одинаково.
3. Выделите сертификат и нажмите «Экспортировать сертификаты». Укажите папку, имя и тип файла в открывшемся окне, затем сохраните его.
4. Проверьте, что файл появился по указанному пути. При необходимости откройте его для просмотра сведений и сравните отпечаток с исходной записью. Не переименовывайте расширение файла ради требований портала: если сервису нужен определённый формат, выберите соответствующий тип при экспорте.

Как не выгрузить закрытый ключ по ошибке

Команды «Экспортировать сертификаты» и «Экспортировать ключи» выполняют разные задачи. Первая сохраняет сертификат без закрытого ключа. Вторая, если ключ разрешено экспортировать, создаёт файл PFX, содержащий ключ и сертификат. Не отправляйте PFX в ответ на обычный запрос «пришлите сертификат» и не передавайте PIN-код токена вместе с файлом.

Если портал просит именно файл сертификата, но не принимает ваш файл, уточните у его поддержки требуемый формат и нужный сертификат. Не стоит создавать копию ключа только для подбора расширения.

Что делать, если сертификат не найден

Проверьте выбранное хранилище и учётную запись. Если сертификат находится на токене, а в «Личном» его нет, сначала установите его из контейнера: пошаговая установка сертификата из контейнера. Если контейнер тоже не виден, проверьте подключение носителя и доступ текущего пользователя. Экспортировать отсутствующий в хранилище сертификат через вкладку «Сертификаты» не получится.

Кратко: для передачи открытого сертификата используйте на вкладке «Сертификаты» команду «Экспортировать сертификаты», сверяйте отпечаток и храните закрытый ключ отдельно. Такой файл пригоден для передачи сведений о сертификате, но не заменяет токен для подписания.