Как проверить простую электронную подпись на документе

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Как проверить простую электронную подпись на документе — вопрос, который сбивает с толку даже опытных кадровиков. ПЭП не имеет криптографического сертификата и не создаёт отдельного sig-файла, поэтому привычные онлайн-сервисы проверки на ней просто не работают. Разберём, что фактически означает проверка ПЭП, какими источниками её подтверждают, и почему компании всё чаще уходят от этого вида подписи в кадровом документообороте. Это часть большого материала про проверку электронной подписи, где собраны инструменты и инструкции для всех типов ЭП.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое простая электронная подпись и почему её нельзя проверить как УКЭП

ПЭП — это, по сути, логин и пароль. Или СМС-код. Или одноразка из пуш-уведомления. По 63-ФЗ «Об электронной подписи» (тройка для своих), ПЭП формируется через коды, пароли или иные средства, которые подтверждают факт подписания документа определённым лицом. Никакой криптографии. Никакого хэша. Никакой математики поверх документа.

И вот тут ключевое расхождение с УКЭП. Когда человек подписывает документ квалифицированной подписью, на выходе получается криптографическая структура: хэш документа зашифрован закрытым ключом, рядом лежит сертификат с цепочкой доверия до Минцифры. Перетащил sig-файл и документ в сервис проверки — получил зелёную галочку или крестик. Прозрачно. Воспроизводимо. Юридически чисто.

С ПЭП так не выйдет. Документ, подписанный логином и паролем, не несёт в себе никакой технической метки. Файл выглядит ровно так же, как до подписания. Изменился он или нет после того, как человек нажал кнопку «подписать» — по самому документу не определить. Это и есть главная боль ПЭП. И главная причина, по которой при значимых документах компании на неё не полагаются.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Когда клиент приходит и говорит «у нас сотрудник подписал заявление ПЭП, проверьте подпись» — я сразу объясняю, что флешки или плашечки тут не будет. ПЭП — это не файл, это процедура. Проверять надо не документ, а журнал той системы, в которой кнопочку нажали. И соглашение надо смотреть, без него вся история разваливается.»

Поэтому, когда говорят «проверить ПЭП на документе», имеют в виду совсем не то, что при УКЭП. Тут проверяется не криптография, а цепочка доказательств: кто, в какой системе, в какое время и при каких условиях нажал кнопку подписания.

Юридическая основа ПЭП: что говорит 63-ФЗ

Чтобы понимать, что именно проверять, нужно вернуться к статье 9 тройки. Закон признаёт ПЭП юридически значимой только при двух условиях.

Первое условие. Применение ПЭП прямо предусмотрено федеральным законом или подзаконным нормативным актом. Это, например, история с порталом «Работа в России». Там сотрудник авторизуется через подтверждённую учётку Госуслуг, и эта связка признаётся ПЭП по силе закона, никаких дополнительных соглашений не нужно.

Второе условие. Между участниками заключено соглашение об использовании ПЭП. И это самый частый случай для бизнеса. В таком соглашении должны быть прописаны:

• правила определения лица, подписавшего электронный документ (то есть как идентификатор-логин сопоставляется с конкретным человеком);
• обязанности по соблюдению конфиденциальности ключа (читай: пароля);
• порядок проверки подписи, в том числе порядок выгрузки журналов событий;
• порядок разбора конфликтных ситуаций.

Без этого соглашения, либо без его аналога в виде локального нормативного акта работодателя, ПЭП юридически в воздухе. Документ, подписанный таким способом, в суде защитить будет трудно. Это надо понимать ДО того, как массово раскатать систему на всю компанию.

Какие данные собирать, чтобы подтвердить ПЭП на документе

Если коротко — проверка ПЭП это сборка комплекта доказательств. Ровно как в гражданском процессе. Вот минимальный набор того, что нужно иметь на руках.

1. Сам электронный документ. В том виде, в каком он хранится в информационной системе или в архиве. Без правок, без копий, оригинал.
2. Журнал событий информационной системы (audit log). Кто, в какое время, с какого IP, под каким идентификатором совершил действие подписания. Это закрывашка по техническим обстоятельствам.
3. Соглашение об использовании ПЭП или ЛНА работодателя. Документ, в котором закреплены правила. Без него п.2 теряет половину силы.
4. Привязка идентификатора к ФИО. Приказ работодателя о выдаче логинов, ведомость присвоения учёток, реестр пользователей. Без этого журнал просто покажет какой-то «user_457», а не «Иванов И. И.».
5. Подтверждение факта аутентификации. Если для подписания требовался СМС-код — запись от СМС-провайдера с меткой времени отправки на номер, привязанный к конкретному сотруднику. Если одноразка из приложения — запись из системы.

Этот набор сложнее, чем «перетащил sig-файл и получил результат». Зато он закрывает нужные доказательственные позиции, если до конфликта дойдёт. На практике редкая компания держит все пять пунктов в порядке. Чаще всего сыпется на третьем — соглашения нет, есть какая-то общая фраза в трудовом договоре, и всё.

Мария Ж, судебный эксперт по трудовому праву:
«Я в практике постоянно вижу одно и то же: компания внедрила корпоративный портал, сотрудники там что-то подписывают логином-паролем, а соглашения об использовании ПЭП нет. На вопрос «где у вас регламент применения простой электронной подписи?» отвечают «а это разве надо?». Надо. Иначе при первом же споре с уволенным эта вся ваша красота превращается в тыкву.»

4 способа проверки ПЭП в зависимости от системы

Конкретный механизм проверки сильно зависит от того, в какой системе подпись была сформирована. Универсального сервиса «загрузил файл — получил результат» для ПЭП нет и быть не может. Разберём четыре основных сценария.

Способ 1. Через корпоративную информационную систему КЭДО

Это самый частый случай для кадровых документов. Заявление на отпуск, ознакомление с ЛНА, отзыв из отпуска — всё это в современных компаниях идёт через систему КЭДО. Там сотрудник входит по логину-паролю, и нажатие кнопки «подписать» фиксируется в журнале.

Чтобы проверить подпись, кадровик заходит в систему, открывает карточку документа и смотрит лог. В логе должно быть: дата, время с точностью до секунды, идентификатор пользователя, тип подписи (ПЭП), IP-адрес, статус операции. В практике Добыто мы храним такие журналы в течение всего срока действия архива — это позволяет поднять историю даже через годы после увольнения сотрудника.

Способ 2. Через портал «Работа в России»

Тут история отдельная и любопытная. Когда сотрудник подписывает кадровый документ на портале «Работа в России», портал использует его подтверждённую учётку Госуслуг как ПЭП. Но при этом дополнительно прикладывает к документу штампик от Федеральной службы по труду и занятости — усиленную подпись Роструда поверх.

То есть на выходе сотрудник скачивает архив с двумя файлами: сам документ и подтверждающий файл с УКЭП Роструда. И вот этот второй файл уже можно проверить криптографически. По штампу видно номер сертификата, срок его действия, и факт того, что документ после подписания не менялся. Получается такой гибрид: ПЭП по форме, но с УКЭП-обвязкой по факту.

Способ 3. Через банковскую или IT-систему с СМС-подтверждением

Когда в системе подписание подтверждается СМС-кодом, к стандартному набору доказательств добавляется ещё один источник. Это логи СМС-провайдера. Они фиксируют: какое сообщение, на какой номер и в какое время было отправлено. Если номер привязан к конкретному сотруднику в кадровой системе, и метка времени совпадает с журналом подписания — связка железная.

Многие банки и финансовые сервисы именно так и работают. И при разборе споров логи СМС-провайдера вытягиваются по запросу. Поэтому если ваша система использует СМС-подтверждение — убедитесь, что договор с СМС-провайдером предусматривает хранение логов хотя бы 3 года.

Способ 4. Через корпоративную почту с парольным входом в домен

Этот вариант самый зыбкий. Если организация внутренним приказом определила, что переписка с корпоративной почты считается подписанной ПЭП, формально это допустимо. Но на практике защитить это в суде сложнее всего. Потому что доступ к корпоративной почте часто имеют админы, бывают случаи перехвата сессии, есть вопросы с делегированием доступа.

Минтруд России в письме от 29.03.2023 № 14-6/ООГ-2314 прямо указывает: для большинства кадровых документов ПЭП через почту работодатели использовать не должны. Лучше идти через нормальный КЭДО или через УНЭП с Госключом. Денюжки на этом сэкономить не получится, а вот головняк при проверке ГИТ — запросто.

Образцы документов для регламента работы с ПЭП

Пошаговая инструкция: как проверить ПЭП на кадровом документе

Если столкнулись с задачей подтвердить, что конкретный сотрудник подписал конкретный документ ПЭП — вот рабочий алгоритм. Он применяется при внутренних проверках, при ответах на запросы ГИТ и при подготовке к судебному разбирательству.

Как проверить простую электронную подпись на документе: пошаговая инструкция

Мария Ж, юрист со стажем более 20 лет:
«Когда дело доходит до спора, суд не интересует, какая там у вас красивая система. Суд интересует комплект документов: вот ЛНА, вот соглашение, вот журнал, вот идентификатор привязан к человеку. Если хоть одного звена нет — до свидания. И вот эту цепочку надо собирать ДО конфликта, а не во время него. Потом будет поздно.»

Стоимость подключения системы КЭДО с проверяемой ПЭП

Стоимость зависит от численности сотрудников, выбранного тарифа и набора подключаемых модулей. Электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах сервиса Добыто.

Итоговая сумма зависит от численности персонала, выбранного набора модулей и наличия интеграции с учётной системой компании. Точно сориентироваться по цене для конкретного штата помогут актуальные тарифы сервиса Добыто с разбивкой по составу услуг.

Когда ПЭП недостаточно: переход на УНЭП и УКЭП

Закон чётко ограничивает, какие кадровые документы можно подписывать ПЭП, а какие требуют УНЭП или УКЭП. Это закреплено в статье 22.3 ТК РФ.

ПЭП нельзя использовать для подписания со стороны сотрудника:

• трудового договора;
• договора о материальной ответственности;
• ученического договора и договора на получение образования с отрывом или без отрыва от работы;
• дополнительного соглашения к трудовому договору;
• приказа о применении дисциплинарного взыскания;
• заявления об увольнении и отзыва такого заявления;
• уведомления об изменении условий трудового договора.

Для всех этих документов сотруднику нужна как минимум усиленная неквалифицированная подпись (УНЭП). Сейчас её удобно получать через Госуслуги, а конкретно через приложение Госключ от Минцифры. Подпись ставится на телефон, физический токен не нужен. Проверка такой подписи уже идёт криптографически — стандартными сервисами проверки.

УКЭП на стороне работника обычно не требуется, она нужна со стороны работодателя — для подписания документов от лица компании. Её получают через аккредитованный УЦ или через УЦ ФНС, записывают на физический токен (рутокен, юсби-токен). Это уже совсем другие денюжки и другая логистика.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«В практике Добыто мы советуем компаниям сразу строить КЭДО на УНЭП через Госключ. ПЭП для внутренних документов — ознакомления с ЛНА, заявления на отгул — подходит, тут и проверка проще, и доказательная база минимальная нужна. А для всего, что касается трудового договора и материальной ответственности — только УНЭП или УКЭП. Иначе можно влететь по ст. 5.27 КоАП на проверке ГИТ.»

Типичные ошибки при проверке ПЭП

За время работы сервиса Добыто мы подключили к КЭДО более 500 компаний и в каждом проекте видим примерно один и тот же набор грабель. Вот шесть самых частых.

Ошибка 1. Ожидание стандартной «проверки файла». Кадровик берёт документ, который сотрудник «подписал ПЭП», и пытается перетащить его в сервис проверки. Сервис, естественно, отвечает «подпись не найдена». Дальше начинается паника. На самом деле всё работает иначе — см. раздел про способы проверки выше.

Ошибка 2. Отсутствие соглашения об использовании ПЭП. Компания внедрила систему, сотрудники там что-то подписывают, но соглашения нет. Документы юридически в подвешенном состоянии. На проверке ГИТ — неприятный сюрприз.

Ошибка 3. Логин в общем доступе. Один логин на нескольких сотрудников отдела, пароль на стикере, вход с любого компьютера. Идентифицировать конкретного человека невозможно. ПЭП в таком виде юридически ничтожна.

Ошибка 4. Слишком короткий срок хранения журналов. Через два года понадобилось поднять историю подписания заявления уволенного сотрудника, а журналы уже стёрлись. По кадровым документам сроки хранения — до 50 лет, журналы должны жить столько же.

Ошибка 5. Передача пароля коллегам. «Я в отпуске, подпиши за меня» — и человек диктует пароль по телефону. Юридически за документ отвечает владелец учётки, независимо от того, кто на самом деле жал кнопку. Это базовое нарушение конфиденциальности ключа подписи по тройке.

Ошибка 6. Использование ПЭП для документов, где она запрещена. Заявление об увольнении подписали ПЭП через корпоративный портал. Уволенный сотрудник через полгода пришёл в суд с иском о незаконном увольнении — и выиграл, потому что ПЭП на таком документе не работает по статье 22.3 ТК. Компании пришлось восстанавливать сотрудника и платить за вынужденный прогул.

Мария Ж, HR-эксперт с 13-летним стажем:
«Самый частый косяк — вообще не задумываться о юридической обвязке ПЭП до момента, когда что-то полыхнёт. Внедрили систему, сотрудники нажимают кнопочку, кадровик доволен. А когда уволенный приходит с претензией — выясняется, что соглашения нет, журналы не в порядке, идентификатор привязан непонятно к кому. И всё, приехали. Поэтому регламент применения ПЭП пишется в первый месяц внедрения, не в последний.»

Выводы: что важно запомнить о проверке ПЭП на документе

Главное, что нужно усвоить — проверка простой электронной подписи в принципе устроена иначе, чем проверка УКЭП. У ПЭП нет криптографического сертификата, нет sig-файла, нет хэша документа. Поэтому привычные онлайн-сервисы для неё не работают. Вместо этого проверяется цепочка из пяти элементов: сам документ, журнал событий информационной системы, соглашение об использовании ПЭП или ЛНА работодателя, привязка идентификатора к ФИО, подтверждение факта аутентификации. Если хоть одно звено отсутствует, юридическая сила подписи под вопросом.

На практике компаниям стоит выстраивать всю эту обвязку до того, как раскатать систему на массу сотрудников. Соглашение или ЛНА о применении ПЭП готовится первым делом. Журналы информационной системы должны храниться столько же, сколько живут сами кадровые документы (до 50 лет по части видов). Идентификаторы пользователей должны быть жёстко привязаны к ФИО приказом работодателя. И главное — помнить про статью 22.3 ТК РФ: для трудового договора, материальной ответственности, заявлений об увольнении ПЭП не подходит, тут нужна УНЭП через Госключ или УКЭП.

В ближайшие пару лет стоит ожидать, что ПЭП в кадровом документообороте будет всё больше вытесняться. УНЭП через Госключ становится массовым, для сотрудника это бесплатно и удобно. Работодатели уходят в сторону систем, где сразу заложена УНЭП-обвязка — это снимает большинство вопросов с проверкой и судебной защитой документов. ПЭП останется для самых простых сценариев: внутренних ознакомлений, технических заявлений, согласований без правовых последствий.

Часто задаваемые вопросы