Как установить КриптоПро CSP, привязать сертификат, подписать документ и проверить чужую ЭП -…

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

КриптоПро CSP — это российский криптопровайдер, без которого электронная подпись на токене в большинстве случаев попросту не заработает: ни вход в личный кабинет ФНС, ни подписание PDF, ни сдача отчётности. Разберём, как установить программу, выпустить и подключить личный сертификат, подписать документ и проверить чужую подпись, а также что делать с лицензией, когда заканчиваются демо 90 дней. Это часть большого материала про проверку электронной подписи, где описан весь жизненный цикл КЭП — от выпуска до архивного хранения.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое КриптоПро CSP и зачем он нужен для работы с ЭЦП

КриптоПро CSP — средство криптографической защиты информации (СКЗИ), сертифицированное ФСБ России. На бытовом уровне — именно та «крипта», которая шифрует ваш закрытый ключ, формирует электронную подпись и проверяет чужую. Когда инспектор в налоговой говорит «у вас лицензия КриптоПро есть?» — имеет в виду именно это. Без CSP подпись с токена не считается машиной, не строится TLS-канал по ГОСТ, не открывается личный кабинет на сайте ФНС. По сути, это связующее звено между вашей флешкой с сертификатом и любой системой, которая требует ЭП.

Текущая актуальная линейка — это семейство 5.0: версии 5.0 R2 и 5.0 R3. Сертификат на четвёртую версию действует до 15 января 2026 года, и регулятор уже не гарантирует, что его продлят. Если вы ставите КриптоПро впервые в 2026 году — имеет смысл ставить сразу 5.0 R3, она поддерживает Windows 11, обеспечивает класс защиты КС3 не только на Windows, но и на Astra Linux Special Edition и Red Hat Enterprise Linux 8 SP. И ещё одно: ключевые носители с неизвлекаемыми ключами работают начиная с пятой версии. На «четвёрке» они просто не подхватятся.

В практике Добыто мы регулярно сталкиваемся с тем, что заказчик пытается работать с УКЭП на машине, где КриптоПро вообще не установлен или стоит истекшая демо-версия. Подпись формально есть, но ни один сервис её не видит. Поэтому первый шаг при выпуске КЭП — не «получить флешку», а «поставить и активировать CSP».

Что нужно установить перед началом работы

Чтобы КриптоПро заработал в связке с вашей подписью, на компьютер нужно поставить набор компонентов. По отдельности они бесполезны, в связке — дают рабочее место. Список такой:

• Драйвер ключевого носителя (Рутокен, JaCarta, eSmart — смотря какая флешка у вас на руках)
• СКЗИ КриптоПро CSP версии 5.0 R2 (сборка 12000 или выше) или 5.0 R3
• КриптоПро ЭЦП Browser Plug-in — плагин для подписи в браузере
• Корневые сертификаты Минцифры России и УЦ ФНС России
• Личный сертификат с токена, установленный в хранилище компьютера
• Расширение крипто-плагина для конкретного браузера, в котором будете работать
• Дополнительные плагины для информационных систем (например, для работы с порталом Госуслуг или сервисом «Мой Арбитр»)

Драйвер для рутокена качаем с rutoken.ru, для JaCarta — с aladdin-rd.ru, для eSmart — с esmart.ru. Запускаем установщик, жмём «Далее» — «Установить» — «Готово». На этом этапе никакой магии нет, главное определить тип токена. Если на колпачке написано «Рутокен Lite» — ставим обычный пакет драйверов. Если «Рутокен ЭЦП 2.0» — отдельный установщик с расширением для EGAIS. Перепутать легко, и дальше будут грабли с неподхватом контейнера.

Мария Ж, специалист по цифровой подписи и КЭДО: «Главный головняк новичка — сразу схватить КриптоПро без драйвера токена и удивляться, почему программа не видит флешку. Сначала драйвер, потом провайдер, потом плагин. Если порядок поменять — получишь странные ошибки, которые потом разгребать дольше, чем чисто переустановить всё с нуля.»

Как установить КриптоПро CSP: два рабочих варианта

Есть два способа получить дистрибутив. Первый — в рамках Эксперимента ФНС России: налоговая раздаёт КриптоПро бесплатно тем, кто получает КЭП в УЦ ФНС. Идём на cryptopro.ru/fns_experiment, жмём «Заполнить форму», вносим данные сертификата, скачиваем установщик. В этом дистрибутиве уже зашиты CSP и Browser Plug-in — ставится одним пакетом. Лицензия «вшита» в сертификат, отдельно покупать не надо.

Второй способ — стандартный. Идём на cryptopro.ru, регистрируемся (без регистрации скачать дистрибутив нельзя), переходим в раздел «Продукты» — «КриптоПро CSP», выбираем последнюю сертифицированную версию для своей операционной системы, соглашаемся с лицензионкой, качаем. Дальше двойной клик по установщику и «Далее — Далее — Готово». Перезагружать машину после установки не обязательно, но если ставите впервые — перезагрузите. Меньше странных багов.

После CSP отдельно ставится плагин КриптоПро ЭЦП Browser Plug-in. Качаем с cryptopro.ru/products/cades/plugin, запускаем, соглашаемся, ждём. При первом запуске браузера появится окошко «Включить расширение» — жмём «Включить». Дальше открываем настройки расширений и проверяем, что плагин активен. На сайте КриптоПро есть страница для проверки работы плагина — на той же странице, где вы его скачивали. Жмёте «Проверить работу плагина» и смотрите, что отвечает.

Установка корневых сертификатов и личного сертификата с токена

Чтобы система доверяла вашей подписи, нужно установить два корневых сертификата: Минцифры России и УЦ ФНС России. Скачиваем их с http://uc.nalog.ru/crt — это файлы guc_22.crt и CA_FNS_Russia_2022_01.crt. Двойной клик — «Открыть» — «Установить сертификат». Нюанс в том, что хранилища разные:

1. Корневой Минцифры России — в хранилище «Доверенные корневые центры сертификации»
2. Корневой УЦ ФНС России — в хранилище «Промежуточные центры сертификации»
3. Расположение — «Локальный компьютер» (не «Текущий пользователь»)
4. Жмём «ОК» — «Далее» — «Готово», дожидаемся сообщения об успешном импорте

Если поставить корневой ФНС в «Доверенные корневые» вместо «Промежуточных» — подпись формально пройдёт, но цепочка будет построена некорректно. На стороне Госуслуг или ГИС-систем периодически выскакивают ошибки «сертификат недействителен» именно по этой причине. Логику этого требования искать бессмысленно, его надо просто выполнить как написано.

Дальше ставим личный сертификат с токена в хранилище компьютера. Запускаем КриптоПро CSP (Пуск — Все программы — КРИПТО-ПРО — КриптоПро CSP), переходим во вкладку «Сервис», жмём «Просмотреть сертификаты в контейнере». Дальше «Обзор», выбираем контейнер на вашей флешке, «ОК», «Далее», «Установить», «ОК». Серт переехал в хранилище машины, теперь его видят все приложения, которые работают с КриптоПро.

Лицензия КриптоПро: что важно знать про 90 дней и бессрочку

Вот тут многих ловит. Сама программа после установки работает 90 дней — это полнофункциональный демо-период. Дальше — либо вводите серийный номер лицензии, либо CSP перестаёт формировать подпись. Не предупреждая. Просто в один день вы заходите в личный кабинет ФНС и получаете ошибку. Часто такое всплывает при удалённом перевыпуске сертификата: подпись истекает, продлить надо удалённо, а тут вылетает «лицензия КриптоПро истекла». И всё, продление через флешку уже не сделать.

Решение — один раз купить бессрочную лицензию и забыть. Лицензия привязывается либо к ключу продукта (можно ставить на любой компьютер), либо вшивается в сертификат прямо при выдаче в УЦ ФНС. Во втором случае: пока на вашем токене есть сертификат с вшитой лицензией — вы можете использовать этот ключ на любой машине, даже там, где у CSP лицензия истекла. Подпись всё равно сформируется. А вот другие ключи на этой машине — нет.

Лицензии бывают клиентские и серверные, годовые и бессрочные. Линейка 5.0 — единая лицензия и на 5.0 R2, и на 5.0 R3. При переходе с 4.0 на 5.0 не обязательно покупать новую — есть лицензия на обновление, она дешевле. С 1 января 2025 года КриптоПро поднял цены на клиентские лицензии всех видов: и бессрочные, и годовые, и на обновление. Если думали — покупайте, потом дороже.

Мария Ж, юрист со стажем более 20 лет: «Денюжки за бессрочную лицензию КриптоПро — это та статья расходов, на которой экономить себе дороже. Сэкономили пять тысяч сегодня — получили в неудобный момент сорванную сдачу отчётности или несданный иск в Мой Арбитр. Цена ошибки сильно выше стоимости лицензии.»

Как подписать документ через КриптоПро

Сам по себе КриптоПро CSP не имеет графического интерфейса для подписи файла — это движок. Чтобы подписать документ, нужна программа-обвязка, которая обращается к CSP за криптографией. Вариантов несколько, и выбор зависит от того, что и куда вы подписываете. Если интересно глубже разобраться в выборе софта — посмотрите обзор программ для подписания документов ЭЦП: там разобраны КриптоАРМ, Saby Crypto, OfficeCrypto и другие.

Самый частый сценарий — КриптоАРМ ГОСТ 3 в связке с КриптоПро CSP. Открываем КриптоАРМ, заходим в раздел «Документы», выбираем профиль подписи (заранее настроенный шаблон с параметрами), указываем файл, жмём «Подписать». Программа обращается к CSP, тот достаёт ключ из контейнера на токене (попросит ПИН-код), формирует подпись. На выходе — либо файл с расширением .sig (отсоединённая подпись), либо документ с присоединённой подписью внутри.

Для PDF-документов в КриптоАРМ версии 6 (и в КриптоПро PDF) есть отдельный мастер: загружаем файл, размещаем визуальный штампик с информацией о подписи на нужной странице, настраиваем размер и логотип, жмём «Подписать и защитить». Получаем PDF со встроенной подписью внутри — такой документ уже не нужно отдельно проверять во внешней программе, любой Adobe Reader покажет, что документ подписан.

Если вам нужна отсоединённая подпись в КриптоПро в формате SIG — используется тот же механизм, только в настройках профиля подписи указываете «Отсоединённая». Подпись формируется отдельным файлом рядом с исходным документом, и оба файла отправляются вместе.

Как проверить чужую электронную подпись через КриптоПро

Проверка подписи — это не «посмотреть на штампик и кивнуть». Визуализация в виде синенького квадратика на PDF может быть скопирована любым редактором и наклеена на любой документ. Это будет выглядеть как подписанный документ, но юридически таким не будет. Поэтому проверка — всегда программная.

В КриптоАРМ открываем документ — «Проверить подпись» — получаем результат: действительна, недействительна, или сертификат отозван. Программа автоматически проверяет цепочку сертификатов до головного УЦ Минцифры, статус сертификата по списку отзыва (CRL) и через службу OCSP (онлайн-проверка статуса), целостность подписанных данных, срок действия сертификата на момент подписания. Если в подпись добавлены штампы времени и доказательства подлинности — программа покажет и их.

Что важно: если вы проверяете подпись через несколько лет после подписания, и сертификат к этому моменту уже истёк — программа должна найти штамп времени, подтверждающий, что на момент подписания сертификат действовал. Эту функциональность даёт усовершенствованная подпись формата CAdES-A. Если её нет — проверка через 5 лет может вернуть ошибку, даже если подпись была валидной. По 63-ФЗ срок действия закрытого ключа — 3 года, плюс 15 лет на проверку (итого до 18 лет можно гарантированно проверять). Если документ нужен дольше — надо «ухаживать» за подписью, добавляя архивные метки времени.

Альтернативный способ — проверить подпись на портале Госуслуг. Там есть бесплатный сервис проверки и КЭП, и НЭП, и МЧД. Загружаете файл с подписью — получаете результат. Полезно для разовой проверки, когда нет под рукой КриптоАРМ. Но в производственных процессах, где документов сотни и тысячи, ручная проверка не годится — нужен серверный софт типа КриптоАРМ Server, который работает по API.

Виды электронных подписей: где какая используется в связке с КриптоПро

Закон 63-ФЗ («тройка») выделяет два типа: простая электронная подпись (ПЭП) и усиленная. Усиленная делится на неквалифицированную (УНЭП) и квалифицированную (УКЭП). Для каждой — своя инфраструктура и свои правила.

ПЭП — это простой логин-пароль, СМС-подтверждение или одноразка (одноразовый пароль). Криптопровайдер для неё не нужен. Применяется во внутренних кадровых документах, простых договорах, сервисах с ограниченной значимостью. Хранение — на стороне сервиса.

УНЭП — получается криптографическим преобразованием с использованием ключа, идентифицирует подписанта, обнаруживает изменения в документе после подписания. Может быть выпущена в облаке (как в Госключе) или на токене. Криптография — либо встроенная в сервис, либо через КриптоПро CSP (если ключ на флешке).

УКЭП — выдаётся на сертифицированном носителе (рутокен, JaCarta, eSmart) аккредитованным УЦ. Для юриков и ИП — в УЦ ФНС России бесплатно (с 1 января 2022 года). Срок действия сертификата — 1 год и 3 месяца (15 месяцев). КриптоПро здесь обязателен: без него ключ с токена не достать, подпись не сформировать.

Срок действия сертификата УКЭП в УЦ ФНС — 15 месяцев. Перевыпуск на токен можно сделать удалённо, не приезжая в инспекцию, если не закончилась лицензия КриптоПро. Если истекла — сначала покупайте лицензию или едьте в ФНС лично.

Стоимость работы с КриптоПро в составе сервиса Добыто КЭДО

Когда нужно подключить КриптоПро не одному пользователю, а целому штату — расчёт идёт уже не по разовой лицензии, а в составе сервиса. В КЭДО Добыто электронные подписи ПЭП и УНЭП для сотрудников выпускаются бесплатно и входят в стоимость тарифа, а УКЭП оформляется через партнёров-удостоверяющих центров. Тариф рассчитывается за рабочее место, без скрытых модулей.

Итоговая сумма зависит от численности штата, выбранного тарифа и набора подключаемых модулей. На странице тарифов сервиса Добыто КЭДО можно сравнить пакеты по полной матрице функций и оставить заявку на расчёт под конкретные параметры компании. Если параллельно с КЭДО нужно оценить разовую покупку лицензии КриптоПро для бухгалтерии или ИП — пригодится калькулятор КриптоПро с актуальной разбивкой по типам лицензий.

Образцы кадровых документов и инструкции по работе с ЭЦП

Типичные ошибки при работе с КриптоПро и как их обойти

Разберу несколько типовых граблей, на которые наступают пользователи. Без них статья была бы неполной, потому что 80% обращений в техподдержку — это про «что-то не работает» из этого списка.

Демо закончилась, лицензия не куплена. Самая частая причина «ничего не подписывается» после трёх месяцев работы. На вкладке «Общие» в КриптоПро CSP видно срок действия лицензии: если осталось мало — вводим серийный номер. Если 90 дней истекли — подпись формироваться перестаёт молча, без предупреждения.

Не тот тип лицензии. Купили лицензию на 5.0 R2, а пользуетесь R3 — всё работает. Купили на 4.0, а ставите 5.0 — не работает, нужна лицензия на обновление. Сборка 5.0 R2 первая (без R) поддерживала лицензии от 4.0, начиная с R2 — нужна лицензия именно на 5.0.

Драйвер токена не установлен или установлен не тот. CSP видит флешку как «неизвестный носитель», контейнер не открывается. Проверьте через «Диспетчер устройств», корректно ли определяется токен. Для Рутокен ЭЦП 2.0 нужен отдельный установщик с поддержкой EGAIS, для Lite — стандартный.

Корневой сертификат поставлен не в то хранилище. Подпись формально валидна, но цепочка не строится. Откройте сертификат двойным кликом — на вкладке «Путь сертификации» должно быть видно дерево от вашего сертификата до корневого Минцифры. Если красный крестик — сертификат стоит не там.

Неправильно настроен браузер. Особенно касается работы с порталом ФНС, госзакупок, ОИС-Trade. Нужно добавить сайт в «Надёжные сайты» в настройках безопасности, включить ActiveX-элементы для надёжных сайтов, иногда отключить SmartScreen. На современных Edge и Chrome всё проще, на IE в режиме совместимости приходится шариться по окнам.

Мария Ж, соучредитель сервиса КЭДО Добыто: «За время работы сервиса Добыто мы видели, как одну и ту же ошибку с лицензией КриптоПро гендир обнаруживал в самый неподходящий момент — перед сдачей квартального отчёта. У главбуха нет доступа в кабинет, у юрика просрочка, в результате налоговая получает отчёт с опозданием. Поэтому в наших проектах внедрения КЭДО мы сразу закладываем выпуск УКЭП через партнёрский УЦ с вшитой бессрочной лицензией — снимает грабли на будущее.»

Как подписать документ через КриптоПро: пошаговая инструкция

Что нового в КриптоПро 5.0 R3 и зачем переходить с 4.0

Коротко по версиям. КриптоПро 5.0 R3 — актуальная сертифицированная сборка. В неё добавили КриптоПро SDK для встраивания подписи в свой софт, встроенный браузер-плагин (раньше ставили отдельно), поддержку TLS 1.3 с российской криптографией для класса КС1, реализацию в Docker, Kubernetes, OpenShift. Класс КС3 теперь работает не только на Windows и Astra Linux Special Edition, но и на Red Hat Enterprise Linux 8 SP. И поддерживается Windows 11 — что уже актуально для большинства новых машин.

Зачем переходить с 4.0. Сертификат на четвёртую версию действует до 15 января 2026 года, и регулятор не гарантирует продление. Без действующего сертификата СКЗИ нельзя использовать в качестве средства подписи в государственных информационных системах. Для коммерческих задач — можно, но юридическая значимость подписи с прицепом «сертификат истёк» в суде — дискуссионный вопрос.

Кроме того, ключевые носители с неизвлекаемыми ключами поддерживаются только начиная с 5.0. Это новые модели Рутокен ЭЦП 3.0 — такие токены УЦ ФНС выдаёт уже сейчас. Если у вас «четвёрка» и новый токен — подпись просто не сформируется. Лицензия на обновление с 4 на 5 дешевле, чем покупка с нуля — смысл откладывать переход обнуляется.

Отдельная штука — КриптоПро Master. Это надстройка над CSP, которая упрощает развёртывание для пользователя: ставит провайдер, плагин и Яндекс.Браузер в несколько кликов, без участия инженера. Полезна для компаний, где нужно поднять рабочее место сотруднику без техподдержки. В практике Добыто мы рекомендуем Master при массовом развёртывании КриптоПро на 50+ машин — экономит примерно 15-20 минут на каждом рабочем месте.

Безопасность ключа: что нельзя делать с токеном

По 63-ФЗ владелец ключа обязан обеспечить его конфиденциальность. На практике это значит: не передавать токен другим людям, не оставлять воткнутым в компьютер на ночь, не давать доступа к закрытому ключу третьим лицам. Если есть подозрение, что флешку видели посторонние — надо немедленно отозвать сертификат через УЦ.

Все документы, подписанные после включения сертификата в список отозванных, при проверке считаются недействительными. Это защитный механизм: если кто-то украл ваш токен и подписал контракт от вашего имени — вы отзываете сертификат, и сделка автоматически становится оспоримой. Бывали кейсы, когда токены находили в ресторанах, в такси, на улице — и хозяева приходили в техподдержку с просьбой «ничего не делать», потому что флешка важная. Это неправильная реакция: пока сертификат действует, любой подпишет от вашего имени всё что угодно.

Хранить лучше в физическом сейфе или в выделенном защищённом ящике. Особенно если речь про УКЭП на гендира или главбуха крупной компании — кража такого ключа может стоить дороже всех остальных рисков ИБ вместе взятых.

Мария Ж, судебный эксперт по трудовому праву: «В судебных спорах по электронной подписи 80% дел разваливаются именно на вопросе хранения ключа. Был случай — сотрудник Сбера заявил, что не он подписывал соглашение об увольнении по соглашению сторон. Суд проверил процедуру выпуска подписи, регламент хранения, действие сертификата на момент подписания, передачу хеш-функции в УЦ без подмены. Все эти доказательства нужно фиксировать заранее, а не в момент иска. Поэтому юрик, выдавая УНЭП на токене, должен сразу прописать в ЛНА порядок хранения и ответственность.»

Выводы: что важно запомнить о работе в КриптоПро с электронной подписью

КриптоПро CSP — обязательный компонент при работе с УКЭП на токене. Без него ни одна государственная или коммерческая система не сможет ни сформировать вашу подпись, ни проверить чужую. Установка включает шесть последовательных шагов: драйвер носителя, сам CSP, браузерный плагин, корневые сертификаты Минцифры и УЦ ФНС, личный сертификат с токена, расширение крипто-плагина для браузера. Пропуск любого шага приводит к ошибкам, которые пользователь обычно не может диагностировать сам.

Лицензия КриптоПро действует 90 дней в демо-режиме, дальше нужна полноценная — годовая или бессрочная. С 1 января 2025 года цены подняли, поэтому при выпуске новой подписи имеет смысл сразу брать вшитую лицензию через УЦ ФНС либо через партнёрский УЦ — получится дешевле и без рисков с просрочкой. Сертификат на КриптоПро 4.0 действует до 15 января 2026 года, новые ключевые носители работают только с 5.0 — откладывать переход смысла нет.

Для подписания документов нужна программа-обвязка над CSP: КриптоАРМ ГОСТ 3 или КриптоАРМ 6, КриптоПро PDF, Saby Crypto или встроенный софт информационной системы. Проверка подписи — всегда программная, не визуальная. При архивном хранении нужны штампы времени и усовершенствованная подпись формата CAdES-A, иначе через несколько лет проверка вернёт ошибку. Безопасность закрытого ключа — целиком ответственность владельца, при подозрении на компрометацию — немедленный отзыв сертификата через УЦ.

Часто задаваемые вопросы