Единая система идентификации и аутентификации (ЕСИА) — это государственный механизм, который обеспечивает вход пользователей на портал Госуслуг и в различные информационные системы․ Одной из распространённых технических проблем при интеграции с ЕСИА является ошибка «Не удалось отправить запрос в ЕСИА для обмена авторизационного кода»․ В этой статье подробно разберём, что означает данная ошибка, почему она возникает и как её устранить․

Что означает эта ошибка

Авторизация через ЕСИА работает по протоколам OAuth 2․0 и OpenID Connect 1․0․ Процесс состоит из нескольких этапов:

1. Система-клиент формирует запрос на получение авторизационного кода и перенаправляет пользователя на страницу входа ЕСИА․
2. Пользователь проходит аутентификацию (вводит логин и пароль, подтверждает вход)․
3. ЕСИА возвращает системе авторизационный код․
4. Система-клиент обменивает авторизационный код на маркер доступа (access token), отправляя запрос в ЕСИА․

Ошибка возникает именно на четвёртом этапе — когда информационная система пытается обменять полученный авторизационный код на токен, но запрос не удаётся отправить или он отклоняется сервером ЕСИА․

Основные причины возникновения ошибки

Проблемы с сетью и доступностью сервисов ЕСИА

• Нестабильное интернет-соединение на стороне сервера системы-клиента․
• Временная недоступность сервисов ЕСИА (технические работы, высокая нагрузка)․
• Блокировка исходящих HTTPS-соединений файрволом или прокси-сервером организации․

Ошибки в формировании запроса

Запрос на обмен кода должен содержать обязательные параметры․ Типичные ошибки:

• invalid_request, в запросе отсутствует обязательный параметр (например, code, client_id, redirect_uri, grant_type)․
• ESIA-007014 — запрос не содержит обязательного параметра․
• Неверный формат параметра timestamp (должен соответствовать шаблону yyyy․MM․dd HH:mm:ss Z)․
• Истёк срок действия авторизационного кода — код имеет ограниченное время жизни, и если обмен не выполнен вовремя, он становится недействительным․

Проблемы с подписью запроса (client_secret)

Согласно Методическим рекомендациям, параметр client_secret должен содержать отсоединённую подпись в формате PKCS7 в кодировке UTF-8 от значений четырёх параметров: scope, timestamp, client_id, state (без разделителей), закодированную в формате Base64 URL Safe․ Ошибки на этом этапе:

• Неверный порядок конкатенации параметров при формировании подписываемой строки․
• Использование обычного Base64 вместо Base64 URL Safe․
• Проблемы с сертификатом информационной системы: истёк срок действия, не экспортирован закрытый ключ, сертификат не зарегистрирован в ЕСИА․
• Ошибка invalid_client (ESIA-008010) — не удалось произвести аутентификацию системы-клиента․

Проблемы с криптопровайдером

• Не установлен или неправильно настроен криптопровайдер (например, КриптоПро CSP / JCSP)․
• Не заданы системные свойства для работы с криптографией, например:
  System․setProperty("ru․CryptoPro․defaultSSLProv", JCSP․PROVIDER_NAME);
• Не установлены корневые сертификаты удостоверяющего центра․

Некорректная конфигурация системы-клиента

• Неверно указан путь к контроллеру ЕСИА для получения авторизационного кода (ac_path)․
• Несовпадение redirect_uri с тем, что зарегистрирован в ЕСИА․
• Отсутствует параметр permissions, требуемый Методическими рекомендациями по интеграции с REST API․

Пошаговое решение проблемы

Шаг 1․ Проверьте доступность ЕСИА

Убедитесь, что сервер системы-клиента имеет доступ к адресам ЕСИА по протоколу HTTPS (порт 443)․ Проверьте настройки файрвола и прокси․

Шаг 2․ Проверьте логи и коды ошибок

Найдите в журнале запросов ответ с кодом ошибки (например, 401, invalid_request, invalid_client)․ Код и описание ошибки помогут точно определить причину․ Сверьтесь с таблицей ошибок из Методических рекомендаций (Приложение В, раздел «Получение маркера доступа в обмен на авторизационный код»)․

Шаг 3․ Проверьте формирование client_secret

• Убедитесь, что подписывается строка в строгом порядке: scope + timestamp + client_id + state без разделителей․
• Проверьте, что подпись создаётся в формате PKCS7, отсоединённая, в кодировке UTF-8․
• Убедитесь, что результат кодируется в Base64 URL Safe․

Шаг 4․ Проверьте сертификат

• Убедитесь, что сертификат информационной системы действителен․
• Проверьте, что закрытый ключ экспортирован и доступен приложению․
• Убедитесь, что открытая часть сертификата загружена в личном кабинете технологического партнёра ЕСИА․

Шаг 5․ Проверьте синхронизацию времени

Параметр timestamp должен соответствовать текущему времени․ Расхождение часов сервера с эталонным временем может приводить к отклонению запроса․ Настройте синхронизацию по NTP․

Шаг 6․ Проверьте скорость обмена кода

Авторизационный код действителен ограниченное время․ Убедитесь, что обмен кода на токен происходит сразу после его получения, без задержек․

Если ничего не помогло

Если самостоятельно устранить проблему не удалось, рекомендуется:

• Обратиться в службу технической поддержки ЕСИА, указав в обращении мнемонику системы, время возникновения ошибки, полный текст запроса и ответа (без закрытых ключей), а также код ошибки․
• Если проблема возникает у пользователей при входе через Госуслуги — направить обращение на адрес поддержки, указав контактные данные и подробное описание проблемы․
• Проверить актуальную версию Методических рекомендаций по использованию ЕСИА — требования к интеграции периодически обновляются․

Ошибка «Не удалось отправить запрос в ЕСИА для обмена авторизационного кода» чаще всего связана с неправильным формированием подписи client_secret, проблемами с сертификатом системы или сетевыми ограничениями․ Систематическая проверка по шагам, описанным в этой статье, позволяет выявить и устранить причину в большинстве случаев․ Ключевые моменты — корректная криптоподпись, актуальный сертификат, синхронизированное время и своевременный обмен авторизационного кода на маркер доступа․