Почти каждый бизнес в Казахстане хотя бы раз терял час рабочего времени из-за одной строки: «Ошибка при подключении к NCALayer. Убедитесь, что программа запущена». В этот момент останавливается сразу всё — вход на egov.kz, подача заявки на госзакупках, выписка ЭСФ, отправка отчёта в кабинет налогоплательщика. Причина почти всегда одна и та же, и она техническая: NCALayer — это маленький локальный сервер, который живёт на вашем компьютере и слушает порт 13579 по адресу 127.0.0.1. Когда вы нажимаете «Подписать» в браузере, страница стучится не на сервер госоргана, а именно сюда, на вашу же машину. Стоит этому мостику упасть — и никакая ЭЦП не проходит, хотя ключ и пароль в полном порядке. Поэтому, когда NCALayer не работает, дело редко в самой подписи.
За последний год контекст вокруг электронной цифровой подписи заметно поменялся. С августа 2025 года получение ЭЦП полностью перевели в онлайн — визит в ЦОН нужен, только если биометрию не удалось пройти с пяти попыток; сама подпись для физлиц по-прежнему бесплатна. Появилась и альтернатива десктопу — подпись по QR-коду через eGov Mobile. В West Star Ltd мы каждый день сталкиваемся с ЭЦП с двух сторон: помогаем сотрудникам клиентов победить капризы NCALayer на рабочих местах и одновременно встраиваем подписание в бизнес-процессы, где человек к браузеру вообще не подходит. Эта статья — про обе стороны: почему прослойка ломается, что чинить первым делом и когда пора уходить от ручного NCALayer совсем.
Почему NCALayer не работает и как устроена прослойка
Чтобы чинить, надо понимать, что именно сломалось. NCALayer от Национального удостоверяющего центра РК — это не «программа для подписи» в привычном смысле, а посредник между браузером и вашим ключом. Он поднимает на компьютере защищённое WebSocket-соединение (wss://127.0.0.1:13579) и ждёт, пока веб-страница попросит подписать данные. Стандартный порт — 13579, но при конфликте приложение умеет занимать любой из диапазона 13579–13679, всего сотню портов. Проверить, жив ли мостик, можно за десять секунд: откройте в браузере адрес 127.0.0.1:13579 — если появилась пустая страница без ошибки сертификата, значит, программа запущена и слушает порт.
Дальше начинается список причин, по которым соединение с NCALayer прервано или вовсе не устанавливается. По нашей практике проблемы почти всегда сводятся к нескольким сценариям:
- Программа просто не запущена или свёрнута в трее после перезагрузки — самый частый и самый обидный случай.
- Порт 13579 занят другим процессом. Особенно это бьёт по тем, кто работает в 1С через RDP-сессии: несколько пользователей на одном сервере дерутся за один порт.
- Антивирус или его модуль проверки защищённых соединений подменяет SSL-сертификат и рвёт рукопожатие. Лечится опцией «не проверять защищённые соединения» для локального адреса.
- Не установлены корневые сертификаты НУЦ РК, либо браузер и операционная система им не доверяют.
- Брандмауэр или корпоративная сеть блокируют локальное соединение.
- Устаревшая версия самого NCALayer или конфликт со свежей версией браузера.
Что проверить, когда NCALayer не работает, по порядку: убедитесь, что программа реально запущена (значок в системном трее); перезапустите её — это снимает добрую половину зависаний; откройте адрес 127.0.0.1:13579 и посмотрите на ответ; временно отключите проверку HTTPS в антивирусе; переустановите свежую версию с официального сайта pki.gov.kz и заново поставьте корневые сертификаты. Если вы работаете в RDP — настройте запуск NCALayer на отдельном порту для каждой сессии, иначе пользователи будут выбивать друг друга. В подавляющем большинстве обращений, которые мы разбираем, помогает один из этих шагов, и до драматичного «сломалась ЭЦП» дело даже не доходит — проблема в окружении, а не в ключе.
Отдельная головная боль — обновления. НУЦ РК периодически меняет требования и выпускает новые версии NCALayer, и связка «старая прослойка плюс свежий Chrome» ломается на ровном месте: подпись, работавшая вчера, сегодня выдаёт ошибку. Поэтому при сбое стоит проверять не ключ, а версию NCALayer и браузера и держать оба в актуальном состоянии. В корпоративной среде это удобнее решать централизованно, раскатывая обновление сразу на все машины, а не гоняясь за каждым пользователем по отдельности.
Серверное подписание: как бизнес уходит от ручного NCALayer
Здесь важно увидеть картину шире. NCALayer спроектирован под один сценарий — живой человек сидит за своим компьютером, открыл браузер и нажал «Подписать». Для одного бухгалтера это нормально. Но как только документов становятся десятки и сотни в день, десктопная прослойка превращается в узкое место: каждую накладную, счёт-фактуру или акт кто-то должен подписать руками, а любой сбой NCALayer останавливает весь конвейер и упирается в одного человека с одним компьютером.
Для людей выход уже есть — подпись по QR через eGov Mobile: сайт показывает код, вы сканируете его телефоном и подтверждаете отпечатком или Face ID, без всякой прослойки на ПК. Это удобно для разовых операций и постепенно снимает часть нагрузки с NCALayer. Но для потока документов нужен другой подход — подписание, в котором человек не участвует вообще.
Именно для этого существует серверное подписание. Открытое решение NCANode — это кроссплатформенный сервер (Windows, macOS, Linux), который умеет то же, что NCALayer, но по API: подписывать и проверять документы, читать данные ключей PKCS12 и сертификатов X509, строить цепочку доверия до корневого удостоверяющего центра. Он поддерживает форматы подписи CAdES, XAdES и PAdES на уровнях от B до LTA, работает по HTTP и через очередь RabbitMQ, общается в формате JSON и разворачивается готовым Docker-образом. По сути, вместо того чтобы сотрудник кликал в браузере, ваша учётная система сама отправляет документ на подпись и получает подписанный файл обратно за доли секунды. В Казахстане так уже работают и небольшие стартапы, и крупные страховые компании.
Как это выглядит на практике. 1С формирует счёт-фактуру, по событию отправляет её на сервер подписи, тот подписывает документ ключом организации и возвращает подписанный файл, который тут же уходит в госсистему или контрагенту. Ни одного клика, ни одного открытого браузера, ни одного «NCALayer не работает» посреди рабочего дня. На потоке в сотни документов такой конвейер работает круглосуточно и не зависит от того, включён ли у бухгалтера компьютер и запущена ли у него прослойка. Когда мы настраиваем такую автоматизацию подписания и документооборота, ЭЦП перестаёт быть отдельным действием и становится частью процесса. Мы связываем это с интеграцией 1С и внешних систем, чтобы подписанные документы сразу попадали куда нужно — в ЭСФ, в CRM, в личный кабинет контрагента. Смежные кейсы по стыковке систем мы собираем в отдельной рубрике материалов по интеграции.
Ограничения и риски серверного подписания
Серверное подписание — не серебряная пуля, и честно назвать его слабые места важнее, чем красиво продать саму идею. О чём стоит помнить заранее:
- Хранение ключей. Чтобы подписывать без человека, приватный ключ ЭЦП должен постоянно лежать на сервере. Это удобно и одновременно опасно: скомпрометированный сервер означает скомпрометированную подпись компании. Нужны изоляция, шифрование хранилища и строгий контроль доступа.
- Юридическая ответственность. Автоматическая подпись юридически значима ровно так же, как ручная. Если система подписала не тот документ из-за ошибки в логике, отвечать будет компания, а не «программа».
- Не всё можно автоматизировать. Часть госпорталов по-прежнему требует именно интерактивной подписи через NCALayer или eGov Mobile и не принимает серверный вызов — обход здесь невозможен и не нужен.
- Поддержка и обновления. Форматы, корневые сертификаты и требования НУЦ РК меняются; открытый NCANode приходится обновлять и тестировать, иначе однажды подпись перестанет проходить проверку.
- Порог входа. Развернуть сервер, закрыть его периметр и связать с 1С — это работа инженера, а не «установил и забыл». Для пяти документов в месяц такой проект просто не окупится.
- Единая точка отказа. Централизованный сервис подписи удобно мониторить, но если он ляжет, встанет весь поток сразу — нужны резервирование и оповещения.
Эти ограничения не отменяют пользы автоматизации — они очерчивают, где она уместна. Малому бизнесу с десятком документов в неделю достаточно один раз привести в порядок десктопный NCALayer. Компании, которая подписывает сотни документов, серверное решение экономит человеко-часы и убирает целый класс ошибок, но требует зрелого подхода к безопасности.
Что делать дальше, зависит от роли. Специалисту, который каждый день упирается в «NCALayer не работает», стоит один раз пройтись по чек-листу выше и закрепить рабочую конфигурацию — это снимет большинство инцидентов. Руководителю отдела имеет смысл посчитать, сколько человеко-часов в месяц уходит на ручное подписание, и сопоставить с потоком документов: за определённым порогом ручной труд обходится дороже автоматизации. Собственнику важнее стратегическая развилка — оставаться на десктопной подписи, пока объёмы малы, и переходить на серверное подписание с интеграцией в учётные системы, когда документооборот становится частью производственного процесса, а не разовой формальностью. Электронная подпись в Казахстане давно перестала быть просто «файлом с ключом»; вопрос лишь в том, работает она на вас или вы на неё.
Частые вопросы
Почему NCALayer не работает, хотя ключ и пароль правильные?
Потому что проблема почти всегда не в ключе, а в локальном мостике. NCALayer поднимает соединение на порту 13579 вашего компьютера, и если программа не запущена, порт занят, антивирус рвёт защищённое соединение или не установлены корневые сертификаты — подпись не пройдёт даже при абсолютно верном ключе. Начните с перезапуска программы и проверки адреса 127.0.0.1:13579.
Как проверить, запущен ли NCALayer?
Откройте в браузере адрес 127.0.0.1:13579. Если загрузилась пустая страница без предупреждения о сертификате — прослойка работает и слушает порт. Если браузер выдаёт ошибку соединения, значит, NCALayer не запущен или порт заблокирован, и его нужно запустить заново или переустановить с официального сайта pki.gov.kz.
Можно ли подписывать документы без NCALayer?
Да. Для разовых операций подойдёт подпись по QR-коду через приложение eGov Mobile — прослойка на ПК при этом не нужна. Для потока документов используют серверное подписание по API (например, через NCANode), когда учётная система подписывает файлы сама, без участия человека и без десктопного NCALayer.
Нужен ли бизнесу серверный NCANode или хватит обычного NCALayer?
Всё решает объём. Если в компании подписывают несколько документов в неделю, достаточно правильно настроенного десктопного NCALayer. Если речь о сотнях счетов-фактур и актов, серверное подписание с интеграцией в 1С окупается за счёт сэкономленных часов и меньшего числа ошибок — но требует внимания к безопасности хранения ключей.