Не удалось построить цепочку сертификатов: как исправить

Сертификат установлен, срок действия не истёк, но система сообщает, что цепочку сертификатов построить не удалось. Причина почти всегда одна: на компьютере не установлены сертификаты удостоверяющего центра, который выпустил вашу подпись. Разберём, как это исправить.

Как выглядит проблема

• «Не удалось построить цепочку сертификатов для доверенного корневого центра»
• «Цепочка сертификатов обработана, но обработка прервана на корневом сертификате, у которого отсутствует отношение доверия с поставщиком доверия»
• Ошибка 0x800B0109
• В свойствах сертификата на вкладке «Путь сертификации» видны предупреждающие значки
• Документ подписывается, но подпись помечена как недействительная или неопределённая

Что нужно установить

• Корневой сертификат Минцифры — головной центр, подтверждающий полномочия всех аккредитованных УЦ
• Сертификат вашего удостоверяющего центра — того, который выпустил вашу подпись
• Промежуточные сертификаты — если УЦ их использует
• Списки отозванных сертификатов — иногда требуются для проверки, что сертификат не отозван

Способ 1. Универсальный установщик КриптоПро

Самый быстрый путь. У КриптоПро есть установщик CSP, который ставит необходимые корневые сертификаты автоматически.

Если КриптоПро уже установлен, его можно переустановить поверх — настройки и контейнеры при этом сохраняются, а корневые сертификаты обновятся.

Способ 2. Установить вручную

Если автоматический способ не помог или нужен сертификат конкретного УЦ.

• Скачайте корневые сертификаты на сайте своего удостоверяющего центра — они выкладываются в открытом доступе
• Корневой сертификат Минцифры доступен на портале уполномоченного федерального органа
• Откройте скачанный файл, нажмите Установить сертификат
• Выберите размещение Локальный компьютер, если система позволяет — тогда сертификат будет работать для всех пользователей
• Укажите хранилище вручную: Доверенные корневые центры сертификации
• Завершите установку и перезапустите браузер

Как проверить, что цепочка построилась

• Нажмите Win + R, введите certmgr.msc
• Откройте Личное → Сертификаты, дважды щёлкните по своему
• Перейдите на вкладку Путь сертификации
• Должна отображаться полная цепочка без предупреждающих значков
• Внизу должно быть написано, что сертификат действителен

Если в цепочке есть звено с крестиком или восклицательным знаком — именно этого сертификата не хватает.

Отдельный случай: сервер проверки недоступен

Иногда цепочка построена, но появляется другая ошибка: не удалось проверить, не отозван ли сертификат. Формулировки бывают такие:

• «Невозможно проверить функцию отзыва, так как сервер отзыва сертификатов недоступен»
• «Статус сертификата неизвестен»
• «Проверка отзыва производится офлайн»

Это не проблема ваших настроек: недоступен сервер удостоверяющего центра, который публикует списки отозванных сертификатов. Причины бывают разные — от технических работ на стороне УЦ до ограничений доступа из отдельных сетей.

Что можно сделать: установить актуальный список отзыва вручную с сайта УЦ либо подождать, если проблема на их стороне.

Частые сложности

• Установил корневой, ошибка осталась. Проверьте вкладку «Путь сертификации»: возможно, не хватает промежуточного сертификата, а не корневого.
• Работает у одного пользователя Windows, у другого нет. Сертификат установлен в хранилище текущего пользователя, а не локального компьютера.
• Ошибка появилась после переустановки системы. Корневые сертификаты не переносятся — их нужно установить заново.
• Ошибка в браузере, а в КриптоПро всё в порядке. Перезапустите браузер полностью: он кеширует состояние хранилища сертификатов.
• Цепочка в порядке, подпись всё равно не работает. Причина в другом — начните с общей диагностики.

Проверить состояние компонентов целиком поможет отдельная инструкция: как проверить, работает ли электронная подпись. Общий порядок диагностики: ЭЦП не работает — что проверить самостоятельно.