# Как настроить работу с КЭП на токенах?

## Общие сведения

Для того чтобы установленная СЭД Лексема поддерживала подписание документов пользователем при помощи квалифицированной электронной подписи (КЭП), необходимо:

1. Установить драйверы Рутокен, КриптоПро.net и КриптоПро CSP на сервере приложения;
2. Установить драйверы Рутокен и CSPServer на рабочем месте пользователя;
3. Привязать КЭП к пользователю Lexema-ECM при помощи документа Заявка на выпуск сертификата ЭЦП;
4. Выбрать сертификат в качестве действующего [на вкладке "Электронные подписи" панели "Документооборот"](https://ecm-user-manuals.readthedocs.io/ru/latest/User%20manuals/Стартовая%20страница/#раздел_электронные_подписи).

Более подробно про виды подписей можно прочесть в разделе [Виды электронных подписей](https://ecm-user-manuals.readthedocs.io/ru/latest/User%20manuals/ЭП/).

## Шаг 1. Установка дополнительного ПО на сервере приложения

На сервер, на котором развернуто приложение Lexema-ECM, необходимо установить КриптоПро.net и КриптоПро CSP. Программное обеспечение можно установить по ссылке https://install.kontur.ru/kekep.

На сайте могут потребовать установить расширения. После их установки достаточно следовать инструкциям на сайте.

![Установка КриптоПро](./media/pickCrypto.png)

![Установка КриптоПро](./media/ConturCheck.png)

![Установка КриптоПро](./media/preSetting.png)

![Установка КриптоПро](./media/settingComplited.png)

![Установка КриптоПро](./media/toReboot.png)

Для работы с Рутокеном необходимо установить драйвера с официального сайта [https://www.rutoken.ru/support/download/windows](https://www.rutoken.ru/support/download/windows/). При использовании групповых политик можно установить драйверы из раздела "Системным администраторам". В противном случае потребуется самостоятельная установка драйверов пользователями из раздела "Пользователям Windows".

![Установка драйверов Рутокен](./media/rutokenDriversDwnld.png)

## Шаг 2. Установка дополнительного ПО на рабочем месте пользователя, который будет подписывать документы КЭП

Для настройки КЭП на рабочем месте пользователя нужно установить [драйверы Рутокен](https://www.rutoken.ru/support/download/windows) и браузерное расширение **КриптоПро ЭЦП Browser plug-in**, который предназначен для создания и проверки электронной подписи (ЭП) на веб-страницах и поддерживает работу с широким набором алгоритмов, как встроенных в операционную систему, так и доустановленных дополнительно.

!!! note
    Для стабильной работы браузерного расширения рекомендуется обновить браузер до последней версии (104+).

Подробная инструкция по установке описана по [ссылке](https://www.cryptopro.ru/products/cades/plugin)

Для  настройки плагина необходимо проделать следующие действия:

* **Установить криптопровайдер**

Для создания и проверки электронных подписей по алгоритмам ГОСТ требуется обязательная установка криптопровайдера, поддерживающего ГОСТ. Рекомендуется [**КриптоПро CSP**](https://cryptopro.ru/products/csp).

![Шаг 1](media/step1.png)

При установке снять выбор с вариантов:

![Шаг 3](media/step3.png)

* **Установить КриптоПро ЭЦП Browser plug-in**

Приложение осуществляет взаимодействие веб-страниц в вашем браузере с криптопровайдером в операционной системе и предназначено для создания и проверки электронной подписи на веб-страницах. Более подробная инструкция по установке описана по [ссылке](https://docs.cryptopro.ru/cades/plugin/plugin-installation-windows).

![Шаг 2](media/step2.png)

* Для корректной работы расширения рекомендуется перезапустить браузер. Если не поможет, перезагрузить компьютер.

* Далее необходимо перейти в расширения используемого браузера и включить плагин:

![Включение плагина](media/pluginOn.png)

* Проверить корректность установки возможно на [странице](https://www.cryptopro.ru/sites/default/files/products/cades/demopage/cades_bes_sample.html) проверки плагина.

* Во всплывающем окне нажать "Да".

![Вопрос](media/vopros.png)

Чтобы это окно не появлялось при каждом использовании плагина можно добавить в список разрешенных сайтов. Для этого необходимо в расширения браузера нажать на данный плагин и в открывшемся окне выбрать

![Alt text](media/image.png)

![Alt text](media/image-1.png)

Далее в поле "Добавить новый" указать разрешенный сайт и нажать плюс.

![Alt text](media/image-2.png)

Сайт будет добавлен в список разрешенных. Далее необходимо нажать "Сохранить".

![Alt text](media/image-3.png)

![Диагностика](media/diagnos.png)

При успешной настройке в развернутой форме документооборота во вкладке [**"Электронные подписи"**](https://ecm-user-manuals.readthedocs.io/ru/latest/User%20manuals/Стартовая%20страница/#развернутая_форма_документооборота) будет отображен зеленый маячок.

![Плагин](media/plugin.png)

## Шаг 3. Привязка КЭП к пользователю Lexema-ECM

В приложении Lexema-ECM необходимо привязать сертификат КЭП к пользователю системы. Для этого необходимо создать новый документ «Заявка на выпуск сертификата». Доступ к реестру документов «Заявка на выпуск сертификата» есть у пользователей с ролью ECM_DigitalSignature.

Сначала необходимо запустить [CSPServer](#шаг_2_установка_дополнительного_по_на_рабочем_месте_пользователя_который_будет_подписывать_документы_кэп) (запустить файл CSPServer.exe) либо использовать [браузерное расширение](#использование_браузерного_расширения_криптопро_эцп) на рабочем месте пользователя-создателя заявки, подключить токен с КЭП пользователя, для которого создаётся заявка, и нажать на кнопку «Привязать УКЭП на токене». 
Из появившегося списка необходимо выбрать сертификат КЭП, который будет привязан к пользователю.

![alt text](media/image-4.png)

После выбора сертификата поле "Отпечаток" автоматически заполняется цифровым отпечатком ключа (сертификат ключа КЭП).

Далее необходимо поставить признак «Квалифицированный» и выбрать пользователя, который будет подписывать документы этим КЭП. При выборе пользователя информация о нём заполнит ещё несколько полей. Тип ЭП необходимо выбрать "УКЭП".

![alt text](media/image-6.png)

В итоге должны быть заполнены как минимум поля "Отпечаток", "Квалифицированный", "Пользователь" и "Имя субъекта". После сохранения документа пользователь может воспользоваться КЭП на токене, следуя инструкциям из Шага 4.

Для импортированных сертификатов CSPServer.exe должен быть установлен на тот же диск, на который импортирован сертификат, обычно это диск D:\.

!!! warning
    В связи с особенностями некоторых операционных систем, сертификат КЭП автоматически может не быть добавлен в личное хранилище сертификатов. В случае, если при добавлении КЭП на токенах список сертификатов пустой, решение описано в соответствующем [разделе](../FAQ/index.md#список_сертификатов_кэп_пустой).

* Далее необходимо [привязать](#шаг_3_привязка_кэп_к_пользователю_lexema_ecm) КЭП к пользователю.

* После этого сертификат появится на вкладки «Электронные подписи»:

![КЭП](media/KEP2.png)

## Шаг 4. Как происходит подписание документа КЭП на токене в Lexema-ECM

На рабочем месте пользователя, который подписывает КЭП, должен быть запущен CSPServer и вставлен токен, а пользователь должен выбрать активный сертификат для подписания на панели "Документооборот", вкладке "Сертификаты".

![Выбор КЭП](./media/pickCert.png)

В самом приложении Lexema-ECM в случае, если действие с документом не требует подписание КЭП, то подписание документа происходит стандартным образом и выбор сертификата КЭП в качестве действующего не обязателен. Более подробно про подписание можно прочесть в разделе [Подписание квалифицированным/неквалифицированным сертификатом](https://ecm-user-manuals.readthedocs.io/ru/latest/User%20manuals/Подписание%20сертификатом/)

Однако если в действии указано подписание КЭП, то использование сертификата КЭП обязательно, при помощи облачного сертификата (УНЭП) подписать не получится. Как и для остальных действий, его необходимо внести в документ "Настройка документа", а затем – в "Шаблоны маршрутов"

![Пример таблицы из Настройки документа](./media/docSettings.png)

При наличии константы **Вкладывать_отчеты_с_КЭП** во вложениях к документу автоматически генерируется отчет со штампом квалифицированной электронной подписи.

![Вложение](media/vlozhenie.png)
![КЭП](media/kep.png)

## Холдинг

!!!note

    Для каждой компании в холдинге необходимо приобрести свою серверную лицензию КриптоПро.

Одну лицензию можно установить на одном компьютере. При этом лицензией может пользоваться ее конечный пользователь – организация/ИП/физ.лицо, которая лицензию приобрела. Для работы в интересах другой компании/ИП/физ.лица необходимо приобрести отдельную лицензию, в которой конечным пользователем этой лицензии будет та организация/ИП/физ.лицо, которая эту лицензию и приобрела.

## Ошибка при подписании

При подписании могут возникнуть ошибки:

![Ошибка](media/fail.png)

Нужно установить корневые сертификаты. Если операционная система Windows – это можно сделать с помощью [утилиты](https://ca.skbkontur.ru/Files/userfiles/file/CertificateInstaller/Certificates_Kontur_03_04_2023.zip). Важно установить в хранилище персонального компьютера, а не пользователя.