Қазақстандағы бизнестің барлығы дерлік бір жолдың кесірінен кемінде бір рет жұмыс уақытының бір сағатын жоғалтқан: «NCALayer-ге қосылу кезінде қате шықты. Бағдарламаның іске қосылғанына көз жеткізіңіз». Осы сәтте бәрі бірден тоқтайды — egov.kz-ке кіру, мемлекеттік сатып алуға өтінім беру, ЭШФ жазып беру, салық төлеушінің кабинетіне есеп жіберу. Себебі әрдайым дерлік біреу ғана, әрі ол техникалық: NCALayer — сіздің компьютеріңізде өмір сүретін және 127.0.0.1 мекенжайы бойынша 13579 портын тыңдайтын шағын жергілікті сервер. Браузерде «Қол қою» батырмасын басқанда, бет мемлекеттік органның серверіне емес, дәл осында, сіздің өз машинаңызға жүгінеді. Осы көпірше құласа болды — кілт пен құпиясөз толық ретте болса да, ешқандай ЭЦҚ өтпейді. Сондықтан NCALayer жұмыс істемегенде, мәселе сирек жағдайда ғана қолтаңбаның өзінде болады.
Соңғы бір жылда электрондық цифрлық қолтаңба төңірегіндегі жағдай айтарлықтай өзгерді. 2025 жылғы тамыздан бастап ЭЦҚ алу толығымен онлайнға көшірілді — ХҚКО-ға бару тек биометриядан бес әрекетпен өте алмаған жағдайда ғана қажет; жеке тұлғалар үшін қолтаңбаның өзі бұрынғыдай тегін. Десктопқа балама да пайда болды — eGov Mobile арқылы QR-код бойынша қол қою. West Star Ltd-де біз ЭЦҚ-мен күн сайын екі жақтан бетпе-бет келеміз: клиенттердің қызметкерлеріне жұмыс орындарында NCALayer-дің қыңырлығын жеңуге көмектесеміз және сонымен бірге адам браузерге мүлдем жақындамайтын бизнес-процестерге қол қоюды кіріктіреміз. Бұл мақала — екі жақ туралы: аралық қабат неге бұзылады, ең алдымен нені жөндеу керек және қолмен жұмыс істейтін NCALayer-ден біржола қашан бас тарту керек.
NCALayer неге жұмыс істемейді және аралық қабат қалай құрылған
Жөндеу үшін нақты не бұзылғанын түсіну керек. ҚР Ұлттық куәландырушы орталығының NCALayer-і — әдеттегі мағынадағы «қол қоюға арналған бағдарлама» емес, браузер мен сіздің кілтіңіз арасындағы делдал. Ол компьютерде қорғалған WebSocket-байланысты (wss://127.0.0.1:13579) көтеріп, веб-бет деректерге қол қоюды сұрағанша күтеді. Стандартты порт — 13579, бірақ қақтығыс болғанда қосымша 13579–13679 ауқымындағы кез келген портты, барлығы жүз портты иелене алады. Көпіршенің тірі екенін он секундта тексеруге болады: браузерде 127.0.0.1:13579 мекенжайын ашыңыз — егер сертификат қатесі жоқ бос бет шықса, бағдарлама іске қосылған және портты тыңдап тұр.
Әрі қарай NCALayer-мен байланыс үзілетін немесе мүлдем орнатылмайтын себептер тізімі басталады. Біздің тәжірибеміз бойынша мәселелер әрдайым дерлік бірнеше сценарийге саяды:
- Бағдарлама жай ғана іске қосылмаған немесе қайта жүктелгеннен кейін трейге жиырылып қалған — ең жиі кездесетін әрі ең өкінішті жағдай.
- 13579 портын басқа процесс иеленген. Бұл әсіресе 1С-те RDP-сессиялар арқылы жұмыс істейтіндерге соққы береді: бір сервердегі бірнеше пайдаланушы бір порт үшін таласады.
- Антивирус немесе оның қорғалған байланыстарды тексеру модулі SSL-сертификатты ауыстырып, қол алысуды (handshake) үзеді. Бұл жергілікті мекенжай үшін «қорғалған байланыстарды тексермеу» опциясымен емделеді.
- ҚР ҰКО-ның түбірлік сертификаттары орнатылмаған, не браузер мен операциялық жүйе оларға сенбейді.
- Брандмауэр немесе корпоративтік желі жергілікті байланысты бұғаттайды.
- NCALayer-дің өзінің ескірген нұсқасы немесе браузердің жаңа нұсқасымен қақтығыс.
NCALayer жұмыс істемегенде нені рет-ретімен тексеру керек: бағдарламаның шынымен іске қосылғанына көз жеткізіңіз (жүйелік трейдегі белгіше); оны қайта іске қосыңыз — бұл қатып қалулардың жартысына жуығын жояды; 127.0.0.1:13579 мекенжайын ашып, жауапқа қараңыз; антивирустағы HTTPS тексеруін уақытша өшіріңіз; pki.gov.kz ресми сайтынан жаңа нұсқаны қайта орнатып, түбірлік сертификаттарды қайтадан орнатыңыз. Егер RDP-де жұмыс істесеңіз — әр сессия үшін NCALayer-ді жеке портта іске қосуды баптаңыз, әйтпесе пайдаланушылар бірін-бірі ығыстырып шығарады. Біз талдайтын өтініштердің басым көпшілігінде осы қадамдардың бірі көмектеседі, және іс драмалық «ЭЦҚ бұзылды» дегенге дейін де жетпейді — мәселе кілтте емес, ортада.
Тағы бір бас ауыртатын мәселе — жаңартулар. ҚР ҰКО мезгіл-мезгіл талаптарды өзгертіп, NCALayer-дің жаңа нұсқаларын шығарып тұрады, ал «ескі аралық қабат пен жаңа Chrome» байламы жоқ жерден бұзылады: кеше жұмыс істеген қолтаңба бүгін қате береді. Сондықтан іркіліс болғанда кілтті емес, NCALayer мен браузердің нұсқасын тексеріп, екеуін де өзекті күйде ұстаған жөн. Корпоративтік ортада мұны әр пайдаланушының соңынан жеке жүгірмей, жаңартуды барлық машинаға бірден тарата отырып, орталықтандырылған түрде шешкен ыңғайлы.
Серверлік қол қою: бизнес қолмен жұмыс істейтін NCALayer-ден қалай кетеді
Мұнда көріністі кеңірек көру маңызды. NCALayer бір сценарийге арнап жобаланған — тірі адам өз компьютерінің алдында отырып, браузерді ашып, «Қол қою» батырмасын басады. Бір бухгалтер үшін бұл қалыпты. Бірақ құжаттар күніне ондаған және жүздеген болған бойда, десктоптық аралық қабат тар орынға айналады: әрбір жүкқұжатқа, шот-фактураға немесе актіге біреу қолмен қол қоюы керек, ал NCALayer-дің кез келген іркілісі бүкіл конвейерді тоқтатып, бір компьютері бар бір адамға тіреледі.
Адамдар үшін шешім бар — eGov Mobile арқылы QR бойынша қол қою: сайт кодты көрсетеді, сіз оны телефонмен сканерлеп, саусақ ізімен немесе Face ID арқылы растайсыз, ДК-да ешқандай аралық қабатсыз. Бұл бір реттік операциялар үшін ыңғайлы және NCALayer-ден жүктеменің бір бөлігін біртіндеп алып тастайды. Бірақ құжаттар ағыны үшін басқа тәсіл керек — адам мүлдем қатыспайтын қол қою.
Серверлік қол қою дәл осы үшін бар. NCANode ашық шешімі — кросс-платформалық сервер (Windows, macOS, Linux), ол NCALayer істей алатынның бәрін API арқылы орындайды: құжаттарға қол қояды және оларды тексереді, PKCS12 кілттері мен X509 сертификаттарының деректерін оқиды, түбірлік куәландырушы орталыққа дейін сенім тізбегін құрады. Ол B-ден LTA-ға дейінгі деңгейлерде CAdES, XAdES және PAdES қолтаңба форматтарын қолдайды, HTTP бойынша және RabbitMQ кезегі арқылы жұмыс істейді, JSON форматында алмасады және дайын Docker-образымен өрістетіледі. Мәні бойынша, қызметкер браузерде басып отырудың орнына, сіздің есеп жүйеңіз құжатты қол қоюға өзі жібереді және қол қойылған файлды секундтың бір бөлігінде кері алады. Қазақстанда осылай шағын стартаптар да, ірі сақтандыру компаниялары да жұмыс істейді.
Бұл іс жүзінде қалай көрінеді. 1С шот-фактураны қалыптастырады, оқиға бойынша оны қол қою серверіне жібереді, сервер құжатқа ұйымның кілтімен қол қойып, қол қойылған файлды қайтарады, ал ол бірден мемлекеттік жүйеге немесе контрагентке кетеді. Бірде-бір басу жоқ, бірде-бір ашық браузер жоқ, жұмыс күнінің ортасында бірде-бір «NCALayer жұмыс істемейді» жоқ. Жүздеген құжаттық ағында мұндай конвейер тәулік бойы жұмыс істейді және бухгалтердің компьютері қосулы ма, онда аралық қабат іске қосылған ба — оған тәуелді емес. Біз мұндай қол қою мен құжат айналымын автоматтандыруды баптағанда, ЭЦҚ жеке әрекет болудан қалып, процестің бір бөлігіне айналады. Қол қойылған құжаттар бірден қажетті жерге — ЭШФ-ке, CRM-ге, контрагенттің жеке кабинетіне түсуі үшін біз мұны 1С пен сыртқы жүйелердің интеграциясымен байланыстырамыз. Жүйелерді өзара жалғау бойынша аралас кейстерді біз интеграция бойынша материалдардың жеке айдарында жинаймыз.
Серверлік қол қоюдың шектеулері мен тәуекелдері
Серверлік қол қою — барлық мәселені шешетін құрал емес, және оның әлсіз тұстарын ашық атау идеяның өзін әдемі сатудан маңыздырақ. Алдын ала нені есте сақтаған жөн:
- Кілттерді сақтау. Адамсыз қол қою үшін ЭЦҚ-ның жеке кілті серверде тұрақты жатуы тиіс. Бұл ыңғайлы әрі сонымен бірге қауіпті: бұзылған сервер компанияның бұзылған қолтаңбасын білдіреді. Оқшаулау, қойманы шифрлау және қолжетімділікті қатаң бақылау қажет.
- Заңдық жауапкершілік. Автоматты қолтаңба қолмен қойылған қолтаңба сияқты дәл сондай заңды күшке ие. Егер жүйе логикадағы қатенің кесірінен басқа құжатқа қол қойса, «бағдарлама» емес, компания жауап береді.
- Барлығын автоматтандыруға болмайды. Мемлекеттік порталдардың бір бөлігі әлі де дәл NCALayer немесе eGov Mobile арқылы интерактивті қол қоюды талап етеді және серверлік шақыруды қабылдамайды — мұнда айналып өту мүмкін емес әрі қажет те емес.
- Қолдау және жаңартулар. Форматтар, түбірлік сертификаттар және ҚР ҰКО талаптары өзгеріп отырады; ашық NCANode-ты жаңартып, тестілеп отыруға тура келеді, әйтпесе бір күні қолтаңба тексеруден өтпей қалады.
- Кіру шегі. Серверді өрістету, оның периметрін жабу және 1С-пен байланыстыру — «орнатып, ұмыттым» емес, инженердің жұмысы. Айына бес құжат үшін мұндай жоба жай ғана өзін ақтамайды.
- Істен шығудың жалғыз нүктесі. Орталықтандырылған қол қою сервисін бақылау ыңғайлы, бірақ ол құласа, бүкіл ағын бірден тоқтайды — резервтеу мен хабарландырулар қажет.
Бұл шектеулер автоматтандырудың пайдасын жоққа шығармайды — олар оның қай жерде орынды екенін белгілейді. Аптасына оншақты құжаты бар шағын бизнеске десктоптық NCALayer-ді бір рет ретке келтіру жеткілікті. Жүздеген құжатқа қол қоятын компания үшін серверлік шешім адам-сағаттарды үнемдейді және қателердің тұтас бір класын жояды, бірақ қауіпсіздікке жетілген көзқарасты талап етеді.
Әрі қарай не істеу керектігі рөлге байланысты. Күн сайын «NCALayer жұмыс істемейді» дегенге тірелетін маманға жоғарыдағы чек-парақ бойынша бір рет өтіп, жұмыс конфигурациясын бекіткен жөн — бұл инциденттердің көпшілігін жояды. Бөлім басшысына айына қолмен қол қоюға қанша адам-сағат кететінін есептеп, оны құжаттар ағынымен салыстырудың мәні бар: белгілі бір шектен кейін қол еңбегі автоматтандырудан қымбатқа түседі. Меншік иесі үшін стратегиялық таңдау маңыздырақ — көлемдер аз болғанша десктоптық қолтаңбада қалу, ал құжат айналымы бір реттік формальдылық емес, өндірістік процестің бір бөлігіне айналғанда есеп жүйелерімен интеграцияланған серверлік қол қоюға көшу. Қазақстанда электрондық қолтаңба баяғыда-ақ жай ғана «кілті бар файл» болудан қалды; мәселе тек оның сізге жұмыс істейтінінде ме, әлде сіз оған жұмыс істейсіз бе, соған байланысты.
Жиі қойылатын сұрақтар
Кілт пен құпиясөз дұрыс болса да, NCALayer неге жұмыс істемейді?
Өйткені мәселе әрдайым дерлік кілтте емес, жергілікті көпіршеде. NCALayer сіздің компьютеріңіздің 13579 портында байланыс көтереді, және егер бағдарлама іске қосылмаса, порт бос болмаса, антивирус қорғалған байланысты үзсе немесе түбірлік сертификаттар орнатылмаса — кілт мүлдем дұрыс болса да, қолтаңба өтпейді. Бағдарламаны қайта іске қосудан және 127.0.0.1:13579 мекенжайын тексеруден бастаңыз.
NCALayer-дің іске қосылғанын қалай тексеруге болады?
Браузерде 127.0.0.1:13579 мекенжайын ашыңыз. Егер сертификат туралы ескертусіз бос бет жүктелсе — аралық қабат жұмыс істеп, портты тыңдап тұр. Егер браузер байланыс қатесін берсе, NCALayer іске қосылмаған немесе порт бұғатталған, сондықтан оны қайта іске қосу немесе pki.gov.kz ресми сайтынан қайта орнату керек.
NCALayer-сіз құжаттарға қол қоюға бола ма?
Иә. Бір реттік операциялар үшін eGov Mobile қосымшасы арқылы QR-код бойынша қол қою жарайды — бұл ретте ДК-дағы аралық қабат қажет емес. Құжаттар ағыны үшін API бойынша серверлік қол қою қолданылады (мысалы, NCANode арқылы), бұл кезде есеп жүйесі файлдарға адамның қатысуынсыз және десктоптық NCALayer-сіз өзі қол қояды.
Бизнеске серверлік NCANode керек пе, әлде кәдімгі NCALayer жеткілікті ме?
Бәрін көлем шешеді. Егер компанияда аптасына бірнеше құжатқа қол қойылса, дұрыс бапталған десктоптық NCALayer жеткілікті. Егер әңгіме жүздеген шот-фактура мен актілер туралы болса, 1С-пен интеграцияланған серверлік қол қою үнемделген сағаттар мен қателердің азаюы есебінен өзін ақтайды — бірақ кілттерді сақтау қауіпсіздігіне назар аударуды талап етеді.