КЕП не работи: честите грешки и какво да проверите подред

Когато КЕП „не работи“, причината почти винаги е в един от няколко слоя: четец, софтуер за картата, браузър, програма за подписване, сертификат. Проверявайте ги отдолу нагоре, в реда по-долу, и спрете там, където намерите проблема. Ако започнете от браузъра, а четецът не е включен, ще загубите време. Всяка точка е по помощните страници на НАП и на доставчиците, проверени към 28.10.2026.

Ако подписът ви е облачен (в мобилно приложение), повечето от точките за четец и драйвери не важат; вижте облачен и мобилен подпис.

1. Компютърът не вижда четеца или картата

B-Trust дава този списък за проверка, когато четецът или картата не се разпознават:

1. Пуснете автоматичния инсталатор на доставчика (под Windows).
2. Проверете дали четецът е свързан с компютъра.
3. Проверете дали картата е поставена правилно.
4. Проверете дали е инсталиран софтуерът за картата.
5. Ако подписвате в браузъра, проверете дали BISS е инсталиран и работи.
6. Проверете дали браузърът и операционната система се поддържат.
7. Проверете дали сертификатът е валиден в публичния регистър.

InfoNotary добавя важна подробност: четецът и картата трябва да са включени преди да стартирате инсталатора и преди да отворите браузъра. Firefox и Thunderbird не виждат четец, включен след стартирането им.

Под Linux проверете услугата pcscd: systemctl status pcscd.service. Ако не е активна, B-Trust дава systemctl enable pcscd.service и рестарт; InfoNotary посочва, че под Ubuntu 22.04 картата не работи, докато pcscd не е пусната. Според B-Trust четците Omnikey не работят коректно под Linux. Под macOS 15 и по-нови InfoNotary публикува отделни драйвери за четците Circle и ACS.

2. Сертификатът не се показва в браузъра

Когато четецът се вижда, но сайтът не предлага сертификат, обикновено браузърът не е свързан със софтуера на картата.

• Firefox иска модулът PKCS#11 на картата да е зареден в него; инструкциите на B-Trust и InfoNotary го зареждат ръчно от Settings → Privacy & Security → Security Devices → Load. Пътищата за библиотеките са в статията за софтуера и драйверите.
• Firefox като Snap (по подразбиране в новите Ubuntu) не може да зареди PKCS#11 модул. Според B-Trust и InfoNotary трябва Firefox, инсталиран извън Snap.
• Firefox 90+: B-Trust препоръчва в about:config да зададете security.osclientcerts.autoload на false, преди да заредите модула.
• Chrome под Linux чете сертификатите от NSS базата в $HOME/.pki/nssdb; модулът се добавя с modutil, докато Chrome е затворен и четецът е изваден.
• Windows 11 ARM: според B-Trust ARM версията на SafeNet Authentication Client работи в браузърите, а x86/x64 версията не.

Никога не трийте сертификати от Certificate Manager на Firefox или Thunderbird. InfoNotary и B-Trust предупреждават, че така ключът се изтрива и от картата и подписът не може да се възстанови. Ако Firefox поиска „Master password“ за модула, InfoNotary уточнява, че това е ПИН-ът на картата.

3. Програмата за подписване не е пусната

Сайтовете, които искат подпис в браузъра, разчитат на локална програма. При B-Trust това е BISS: трябва да е инсталиран и пуснат. Ако услугата не стартира сама, B-Trust съветва да я пуснете ръчно и да натиснете бутона „Провери“.

Порталът на НАП работи иначе. Според въпросите и отговорите на НАП за подписване компютърът трябва да може да стартира JNLP файлове чрез Java Web Start или Open Web Start. НАП препоръчва Open Web Start, както и актуален Microsoft Edge, Google Chrome или Mozilla Firefox, защото Internet Explorer вече не се поддържа. Повече за входа: вход в НАП с КЕП.

4. Блокиран или забравен ПИН

Не опитвайте случайни комбинации. Картата се блокира след няколко грешни опита; при InfoNotary след три.

• B-Trust: ПИН-ът се отключва с PUK кода чрез софтуера за картата (B-Trust има инструкция за SafeNet Authentication Client Tools под Windows, macOS и Linux). Без PUK обикновено не може да се зададе нов ПИН и трябват нов носител и нов сертификат.
• InfoNotary: освен ПИН (поне 4 знака) има и административен ПИН (АИН, поне 8 знака). Три грешни опита за АИН блокират картата завинаги. InfoNotary съветва да смените началните ПИН и АИН в Smart Card Manager веднага. Какво да направите при блокиран ПИН, е описано в раздела „Действия при проблем“ на страницата на InfoNotary.
• StampIT: не отключвайте сами. Само регистриращият орган има кода за отключване, затова занесете картата в офис на StampIT, където проверяват самоличността ви.

5. Сертификатът е изтекъл

Изтеклият сертификат не подписва. Проверете датата „валиден до“ в нашата проверка на подпис или в публичния регистър на доставчика.

• B-Trust изпраща напомняне 30, 15, 7 и 3 дни преди изтичане. Подновяване онлайн е възможно, ако подписът е валиден или е изтекъл преди по-малко от 30 дни и данните не са се променили. След това трябва нов КЕП.
• При StampIT удостоверението важи 365 дни от издаването или подновяването.
• При InfoNotary се подновява само валидно удостоверение с непроменени данни.

НАП уточнява, че при нов подпис със същите автор и титуляр достъпът до същите лица и услуги се запазва автоматично, без нови заявления. Подробно: подновяване на КЕП.

6. Грешен час на компютъра

Часът има значение за подписа. Според помощната страница на LibreOffice, ако не е зададен сървър за удостоверяване на времето, подписът получава местния час на компютъра. B-Trust обяснява, че валидността на подписан документ зависи и от това дали е подписан, докато сертификатът е бил валиден. Затова поддържайте автоматично сверяване на часовника и, където програмата позволява, използвайте удостоверяване на времето.

7. Веригата на доставчика не е доверена

Ако програмата казва, че подписът е цял, но сертификатът не може да се потвърди, липсва доверие към коренното удостоверение на доставчика.

• B-Trust описва удостоверителните си вериги като задължителни за подписване и ги публикува на отделна страница.
• InfoNotary дава файл с веригата за Windows, Linux, Firefox и Thunderbird, а за macOS — отделен файл за Keychain Access, където за „InfoNotary TSP Root“ задавате „Always Trust“.
• В Adobe Acrobat Reader инструкцията на B-Trust включва обновяване на европейския доверителен списък от Trust Manager с бутона „Update Now“.
• LibreOffice под Linux и macOS проверява по хранилището на Firefox или Thunderbird, а под Windows — по системното.

8. Подписът работи, но НАП не дава достъп

Ако в КЕП няма ЕГН или друг идентификатор, порталът на НАП показва искане за достъп. Попълвате го, разпечатвате, подписвате саморъчно и го подавате в офис на НАП. Подпис на фирма дава автоматичен достъп само до тази фирма; за други лица трябва упълномощаване. Телефонът на информационния център е на сайта на НАП.

Инструменти за диагностика

• B-Trust: „Тест за работоспособност“ на test.b-trust.bg (с поставена карта и включен четец).
• InfoNotary: програмата SystemInfo проверява системата, четеца, картата, драйверите и браузърите и може да изпрати отчет на поддръжката.
• Всеки доставчик публикува контактите на поддръжката си на сайта си; ако проблемът остане, обърнете се към тях. Връзки към всички има в сравнението на доставчиците.