diff --git a/internal/lkgateway/setup.go b/internal/lkgateway/setup.go
index 6e94c0f..4d32867 100644
--- a/internal/lkgateway/setup.go
+++ b/internal/lkgateway/setup.go
@@ -216,6 +216,20 @@ func (h *setupHandlers) renderWizard(w http.ResponseWriter, r *http.Request) {
 		d.CryptoSvc = strings.TrimSpace(string(out))
 	}
 	d.PGSummary = dsnSummary(s.Postgres.DSN)
+	if d.ValidataVer != "" && (s.Crypto.Provider == "" || (s.Crypto.Provider == "stub" && !d.DevMode)) {
+		// Валидата на месте, а провайдер не выбран — выбираем её сами: от этого зависят список
+		// сертификатов (шаг 5) и проверки СКЗИ.
+		c := s.Crypto
+		c.Provider = "validata"
+		if c.SocketPath == "" {
+			c.SocketPath = "/run/bj/crypto.sock"
+		}
+		if err := h.rc.UpdateCrypto(c); err == nil {
+			s = h.rc.Snapshot()
+			d.Settings = s
+			d.Certs = h.listCertsForUI()
+		}
+	}
 	// Валидата ставится с образа/установщиком: если она на месте, шаг выполнен без ввода параметров
 	// (bj работает с ней через свой криптосервис, путь к модулю не нужен).
 	d.Done.Crypto = d.ValidataVer != "" || (s.Crypto.Provider != "" && s.Crypto.Provider != "stub" && s.Crypto.ModulePath != "")