Цифровая подпись, сертификат и удостоверяющий центр связаны в одну цепочку: закрытый ключ создает подпись, сертификат подтверждает, что парный открытый ключ принадлежит именно вам, а удостоверяющий центр выпускает этот сертификат и отвечает за проверку личности заявителя. Проверить подпись без сертификата невозможно: в файле подписи лежит и криптограмма, и копия сертификата подписанта с адресами списков отзыва. Главное различие, от которого зависит порядок действий: сертификат для УКЭП выдает только удостоверяющий центр, аккредитованный Минцифры и ФСБ, а УНЭП вправе выпустить работодатель или сервис КЭДО внутри своей системы, но тогда стороны заключают соглашение о признании такой подписи.
Разберем, что записано в сертификате и как за минуту увидеть, какой центр его выдал и до какого числа он действует. Покажем, почему математически верная подпись получает статус «недействительна» из-за разорванной цепочки доверия и что делать, если пароль забыт или сотрудник уволился. Отдельно про машиночитаемую доверенность: с 1 сентября 2023 года сотрудник подписывает документы от имени компании сертификатом физического лица плюс МЧД. Сценарная таблица по хранению закрытого ключа, тарифы на 2026 год, образцы реестров и ответы на частые вопросы — во второй половине статьи.
Загрузите документ и файл подписи: сервис покажет владельца сертификата, издателя, срок действия и статус проверки.
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Как связаны подпись, сертификат и удостоверяющий центр
Усиленная электронная подпись состоит из трех частей: закрытого ключа, открытого ключа и сертификата. Закрытый ключ секретный, он формирует подпись под конкретным документом. Открытый ключ публичный, по нему любой получатель проверяет, что документ подписан парным закрытым ключом и после подписания не менялся. Сертификат связывает открытый ключ с владельцем: в нем указано, кому выдан ключ, кем выдан и в какой период действует.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Удостоверяющий центр в этой конструкции выполняет одну задачу: он идентифицирует заявителя и своей подписью заверяет сертификат. Без такого заверения открытый ключ остается набором символов, который ничего не доказывает о личности подписанта. Именно поэтому вопрос «чья это подпись» на практике всегда сводится к вопросу «какой центр выпустил сертификат и был ли он аккредитован».
Механизм подписания и проверки одинаков для усиленной неквалифицированной и усиленной квалифицированной подписи. Различаются они юридической стороной: кто вправе выпустить сертификат и требуется ли дополнительное соглашение сторон, чтобы подпись считалась аналогом собственноручной.
Мария Ж, специалист по цифровой подписи и КЭДО: «Сотрудники часто спрашивают, где хранится сама подпись. Хранится ключ, а подпись каждый раз вычисляется заново под конкретный файл: поменяли в документе одну букву — проверка сразу покажет нарушение целостности. Откройте свой сертификат и посмотрите три поля: кому выдан, кем выдан, действителен по. Этого достаточно, чтобы понять, кто отвечает за вашу подпись и когда ее пора продлевать.»
Виды ЭЦП: где сертификат обязателен, а где его нет
Виды электронной подписи закреплены в 63-ФЗ «Об электронной подписи». Закон разделяет простую электронную подпись и две усиленные: неквалифицированную и квалифицированную. Сертификат появляется только начиная с усиленной подписи, у ПЭП его нет вовсе.
| Вид подписи | Нужен сертификат | Кто выпускает | Что требуется дополнительно |
|---|---|---|---|
| ПЭП (простая) | Нет | Оператор системы: работодатель, банк, портал | Соглашение сторон или прямое указание нормативного акта |
| УНЭП по соглашению сторон | Да | Любой удостоверяющий центр, работодатель, сервис КЭДО | Соглашение об использовании подписи с каждой стороной обмена |
| УНЭП с использованием инфраструктуры электронного правительства | Да | Выпускается в приложении Госключ, нужна подтвержденная учетная запись на Госуслугах | Отдельное соглашение о признании подписи не требуется |
| УКЭП (квалифицированная) | Да, квалифицированный | Только удостоверяющий центр, аккредитованный Минцифры и ФСБ, либо УЦ ФНС, Казначейства, Банка России | Ничего: по 63-ФЗ равнозначна собственноручной подписи по умолчанию |
Из таблицы следует практический вывод для сотрудника: если у вас просят подписать документ «электронной подписью», сначала уточните, какой именно вид требуется. УНЭП, выпущенная работодателем, не заменяет УКЭП там, где закон прямо требует квалифицированную подпись, и наоборот — тянуть УКЭП в кадровый сервис ради заявления на отпуск избыточно.
Кейс из практики: в производственной компании на 900 человек часть сотрудников получила УКЭП на токене для работы с госпорталами и была уверена, что этой же подписью подпишет заявления в кадровом сервисе. В Добыто мы завели им УНЭП внутри сервиса и оставили УКЭП для внешних задач: срок оформления заявления сократился с 2 рабочих дней до нескольких минут, потому что подписание перестало требовать установленного криптопровайдера на рабочем месте.
Что записано в сертификате и как его прочитать
Сертификат ключа проверки электронной подписи — это структурированный файл формата X.509. В нем есть поля, которые пригодятся при любом разбирательстве: серийный номер, имя субъекта (владельца), имя издателя (удостоверяющего центра), период действия, алгоритм подписи и хэш-алгоритм по ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, отпечаток, адреса списков отзыва CRL и службы OCSP.
Адреса CRL и OCSP отвечают на отдельный вопрос: не был ли сертификат отозван до истечения срока. Срок действия и статус отзыва — разные вещи. Сертификат может быть формально действующим по датам и при этом отозванным по заявлению владельца или удостоверяющего центра, тогда проверка выдаст отказ.
Лайфхак: чтобы увидеть сертификаты, записанные на токене, откройте КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере». Для носителей Рутокен тот же список со сроками действия показывает Панель управления Рутокен на вкладке «Сертификаты».
Как узнать, какой удостоверяющий центр выдал вашу подпись: пошаговая инструкция
- Шаг 1. Подключите носитель ключа в USB-порт и убедитесь, что установлен драйвер вашего устройства: Рутокен, JaCarta, eSmart. Без драйвера криптопровайдер не увидит контейнер.
- Шаг 2. Откройте КриптоПро CSP, перейдите на вкладку «Сервис» и нажмите «Просмотреть сертификаты в контейнере», затем «Обзор» и выберите нужный контейнер.
- Шаг 3. На вкладке «Общие» открывшегося сертификата прочитайте три поля: «Кому выдан», «Кем выдан», «Действителен с… по…». Поле «Кем выдан» и есть название удостоверяющего центра.
- Шаг 4. Перейдите на вкладку «Состав»: здесь серийный номер, алгоритм подписи по ГОСТ, отпечаток и адреса точек распространения списков отзыва.
- Шаг 5. Откройте вкладку «Путь сертификации» и посмотрите всю цепочку: от корневого сертификата головного центра до вашего личного. Красный крест на любом звене означает, что нужный корневой сертификат не установлен.
- Шаг 6. Сверьте название издателя со сведениями об аккредитованных удостоверяющих центрах. Если сертификат выпущен работодателем или сервисом КЭДО, в цепочке будет корневой сертификат этой организации, а не государственного головного центра.
Если носителя под рукой нет, а есть только подписанный файл, данные подписанта и издателя видны прямо в результате проверки подписи. Официальный сервис проверки электронной подписи на Госуслугах разбирает и присоединенную, и открепленную подпись и показывает сведения о сертификате, которым подписан документ.
Цепочка доверия: почему компьютер не признает вашу подпись
Проверка подписи идет снизу вверх по цепочке сертификатов. На нижнем уровне ваш личный сертификат, выше сертификат удостоверяющего центра, который его выпустил, на самом верху для квалифицированных подписей — корневой сертификат головного удостоверяющего центра Минцифры России. Разрыв на любом звене останавливает проверку, даже если криптография отработала безупречно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
У квалифицированной подписи цепочка обычно устанавливается вместе с сертификатом при выпуске, поэтому сбои случаются реже. У неквалифицированной подписи корневой сертификат издателя по умолчанию не попадает в доверенные хранилища операционной системы: система не обязана доверять всем подряд. В этом случае корневой сертификат устанавливают вручную, и делать это стоит осознанно, поскольку после установки система будет доверять всему, что подписано этим центром.
Факт: для работы с подписью УЦ ФНС на рабочем месте нужны СКЗИ КриптоПро CSP версии 5.0 R2 (сборка 12000 или выше), плагин КриптоПро ЭЦП Browser Plug-in и два корневых сертификата: guc_22.cert устанавливается в «Доверенные корневые центры сертификации», CA_FNS_Russia_2022_01.cert — в «Промежуточные центры сертификации».
Ошибка с выбором хранилища при установке корневых сертификатов дает ровно тот же результат, что и их отсутствие: подпись создается, а проверка на стороне получателя падает. В практике Добыто это самая частая причина обращений в первые дни после выдачи подписи, и разбирается она за один сеанс подключения к рабочему месту.
Мария Ж, юрист со стажем более 20 лет: «Статус «подписи нельзя доверять» почти никогда не означает подделку. В девяти случаях из десяти это разорванная цепочка: нет корневого сертификата или сертификат выпущен тестовым центром. Прежде чем спорить с контрагентом, откройте вкладку «Путь сертификации» и посмотрите, на каком звене стоит предупреждение.»
Образцы реестров и протоколов для работы с сертификатами
Комплект для тех, кто ведет учет подписей в компании или разбирает отказ проверки: начните с чек-листа диагностики, он экономит больше всего времени.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Реестр выданных токенов | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
Где хранится закрытый ключ и кто отвечает за его сохранность
Сертификат публичен, его можно пересылать и выкладывать. Закрытый ключ секретен, и от места его хранения зависит, кто отвечает при компрометации и что произойдет при потере доступа. Вариантов на практике четыре.
| Где ключ | Кто отвечает за компрометацию | Что при потере доступа | Что критично проверить |
|---|---|---|---|
| Токен: Рутокен, JaCarta, eSmart | Владелец подписи | Блокировка по PIN-коду или утрата токена ведет к перевыпуску сертификата | Извлекаемый ключ или неизвлекаемый, установлен ли драйвер носителя |
| Облачная подпись на стороне удостоверяющего центра | Удостоверяющий центр, расследование на его стороне | Восстановление доступа по регламенту УЦ | Каким приложением подтверждаются операции подписания |
| Смартфон, приложение Госключ | Владелец: ключ хранится только на устройстве | Удаление приложения или утрата пароля означает выпуск новой подписи с новым сроком | Подтвержденная учетная запись на Госуслугах, для УКЭП — биометрический загранпаспорт и NFC |
| УНЭП внутри сервиса КЭДО | Оператор системы по условиям соглашения с работником | Перевыпуск сертификата внутри сервиса, обычно без визита куда-либо | Подписано ли соглашение об использовании подписи и какие документы ею допустимо подписывать |
Ключи на токене делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ на время операции подгружается в память компьютера, такой носитель работает как защищенное PIN-кодом хранилище. Неизвлекаемый ключ генерируется внутри криптоядра устройства и никогда его не покидает: скопировать такой контейнер нельзя. Удостоверяющий центр ФНС по регламенту выдает контейнеры без права копирования.
Полезно знать: закрытая часть подписи Госключа хранится на самом смартфоне. Если удалить приложение или забыть пароль от него, другого способа доступа нет: подпись выпускается заново, и это уже новая подпись со своим сроком действия.
Если вы работодатель и читаете этот раздел с мыслью, что выдавать каждому сотруднику токен дорого и долго, для кадровых документов это не единственный путь: ПЭП и УНЭП для сотрудников в сервисе Добыто выпускаются внутри платформы и входят в тариф, а УКЭП оформляется через партнеров-удостоверяющих центров для тех документов, где она обязательна.
Почему подпись перестает проверяться и сколько стоит ошибка
Отказ проверки дают пять типовых причин, и различить их можно по тексту статуса. Истек срок действия сертификата. Сертификат отозван по заявлению владельца или центра. Не установлены корневые сертификаты, цепочка доверия разорвана. Сертификат выпущен тестовым удостоверяющим центром, которого нет в списке доверенных. Документ изменили после подписания, тогда нарушается целостность и подпись не сходится с хэшем файла.
Отдельная история — документы, которые нужно предъявлять через годы. Срок действия сертификата ограничен, и после его окончания обычная подпись перестает подтверждаться. Здесь применяют усовершенствованные форматы: к подписи добавляют штамп времени от доверенной службы TSP и ответ службы OCSP о статусе сертификата на момент подписания. Штампы времени есть у удостоверяющих центров и у ФНС. Для кадровых и финансовых документов с длительными сроками хранения это единственный способ сохранить проверяемость.
Цена ошибки считается не стоимостью перевыпуска сертификата. В трудовых спорах суд изучает, действовал ли сертификат на момент подписания, был ли документ передан на подписание в неизменном виде и какими локальными актами введен электронный документооборот. В двух известных делах, где работники оспаривали увольнение (крупный банк и федеральная розничная сеть), суды встали на сторону работников: увольнение признано незаконным, работника восстановили в должности и взыскали средний заработок с компенсацией морального вреда. Штампик о подписании на распечатке при этом юридической силы не имеет, это визуализация для человека, а не доказательство.
Внимание: удаление сертификата из хранилища на компьютере не отзывает подпись. Чтобы сертификат перестал действовать, владелец подает заявление в тот удостоверяющий центр, который его выдал. При увольнении это в первую очередь интерес самого работника.
Мария Ж, судебный эксперт по трудовому праву: «Спор о подписи выигрывает та сторона, у которой сохранился полный комплект: исходный файл, файл подписи и сведения о сертификате на момент подписания. Распечатка со штампом такой комплект не заменяет. Мы советуем выгружать документы вместе с файлами подписи и хранить их парами, а по документам с длительным сроком хранения — добавлять штамп времени.»
Сертификат физлица и МЧД: как подтверждаются полномочия
Раньше сотруднику выдавали сертификат юридического лица с указанием владельца как сотрудника организации. Такие сертификаты перестали выпускать: теперь сертификат юрлица выдается один на организацию, на имя руководителя, в удостоверяющем центре ФНС либо у его доверенных лиц, в УЦ Федерального казначейства или Банка России. Первичная выдача проходит лично, ключ записывается на токен без права копирования.
Рядовой сотрудник подписывает документы от имени компании сертификатом физического лица плюс машиночитаемая доверенность. В сертификате физлица нет привязки к организации, полномочия подтверждает МЧД. Это электронный документ в формате XML, который подписывает руководитель организации своей квалифицированной подписью. Бухгалтер на аутсорсе, который раньше держал три сертификата на три компании, теперь использует один сертификат физлица и три доверенности.
Данные МЧД включают сведения о доверителе, доверенном лице и перечень полномочий. У доверенности есть 36-значный номер GUID. Проверить действительность и посмотреть полномочия можно на сайте ФНС, если известны три параметра: номер доверенности, ИНН доверителя и СНИЛС доверенного лица. Сертификат и МЧД между собой технически не связаны: доверенность может действовать 5 лет, за которые сотрудник сменит несколько сертификатов, и это нормально. Проверяется совпадение персональных данных, а не сроков.
Важный нюанс из практики: для филиала действует правило нотариального удостоверения из Гражданского кодекса. Без нотариуса доверенность оформляется, когда юридическое лицо доверяет юридическому лицу и когда цепочка идет через руководителя обособленного подразделения. Передоверие внутри одной организации, от главного бухгалтера бухгалтеру, требует нотариального удостоверения, и МЧД здесь исключением не является.
Любое изменение полномочий ломает подпись под XML-файлом. Добавить полномочия в выданную доверенность нельзя: оформляется новая МЧД. Отзыв доверенности верхнего уровня влечет отзыв всех выданных по цепочке передоверия.
Когда сертификат и удостоверяющий центр вам не нужны
Часть задач закрывается без сертификата вовсе. На портале «Работа в России» сотрудник подписывает кадровые документы простой электронной подписью, привязанной к подтвержденной учетной записи на Госуслугах: никакого сертификата и обращения в удостоверяющий центр не требуется. По статье 22.3 ТК РФ работник вправе применять ПЭП для большинства кадровых документов. УКЭП нужна там, где ее прямо требует закон: трудовой договор, договор о материальной ответственности, ученический договор, приказ об увольнении — в этих документах работодатель применяет УКЭП, а работник УКЭП или УНЭП.
Не нужен персональный сертификат и для потокового подписания документов, которые формирует информационная система. Для этого оператор системы получает в УЦ ФНС обезличенный сертификат на юридическое лицо или ИП, привязанный к конкретной информационной системе. Сотрудники таким сертификатом не пользуются: им подписываются автоматически сформированные счета, квитанции и запросы в госорганы.
Избыточным будет и выпуск УКЭП сотруднику, который подписывает только внутренние кадровые документы. В таком сценарии УНЭП внутри сервиса КЭДО закрывает задачу, а расходы на токен, лицензию криптопровайдера и ежегодный перевыпуск не возникают вовсе.
Мария Ж, HR-эксперт с 13-летним стажем: «Прежде чем отправлять сотрудника в удостоверяющий центр, посмотрите список документов, которые он реально подписывает. Если это заявления на отпуск, ознакомления с приказами и графиком, квалифицированная подпись не понадобится. Токен под такие задачи чаще всего лежит в ящике стола и перевыпускается раз в год впустую.»
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников, набора видов подписи и потребности в интеграции с учетной системой. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф, бесплатно на всех тарифах | вместе с подключением |
| УКЭП через партнеров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма складывается из численности и выбранного набора функций: электронный архив, кастомные шаблоны и интеграция с 1С доступны начиная с тарифа «Бизнес». Полный состав пакетов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО, там же указано, что при повышении тарифа разница пересчитывается пропорционально оставшемуся периоду.
Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных, поэтому выпущенные внутри сервиса подписи применимы к кадровым документам без отдельного согласования с проверяющими.
Выводы
Три сущности работают только вместе: закрытый ключ создает подпись, сертификат привязывает открытый ключ к владельцу, удостоверяющий центр отвечает за то, что этот владелец именно тот, за кого себя выдает. Уровень доверия к подписи определяется тем, кто выпустил сертификат и есть ли у этого центра аккредитация. Отказы проверки почти всегда объясняются не подделкой, а истекшим сроком, отзывом или разорванной цепочкой доверия, и разбираются по карточке сертификата за несколько минут.
Мы в Добыто ежедневно занимаемся этой связкой на стороне работодателя: выпускаем сотрудникам подписи внутри платформы, ведем реестр сертификатов и сроков их действия, настраиваем маршруты подписания под кадровые процессы. Задачи вида «у половины отдела сертификаты истекают в одном месяце» решаются регламентом перевыпуска, а не авралом.
Частые вопросы
Чем отличаются файлы подписи p7s, sig и sgn?
Расширение выбирает программа, которой создавалась подпись, содержимое при этом одинаковое: контейнер формата CMS (PKCS#7) с криптограммой, сертификатом подписанта и служебными полями. В настройках Инструментов КриптоПро расширение подписанного файла выбирается из списка p7s, sig, sgn, формат при этом CAdES-BES. Переименование файла из sig в p7s ничего не ломает и ничего не исправляет: если проверка не проходит, причина в сертификате или в измененном документе.
Как отправить подписанное письмо по электронной почте, чтобы получатель смог проверить подпись?
Отправляйте комплект: исходный документ и файл открепленной подписи одним письмом, лучше архивом, чтобы почтовый сервис не потерял второй файл. Присоединенную подпись отправляют одним файлом, но получателю понадобится программа для его открытия. Существуют средства подписи со встроенным почтовым клиентом, например КриптоАРМ ГОСТ 3, они шифруют и подписывают само письмо, но тогда и у получателя должен быть почтовый клиент с поддержкой S/MIME по ГОСТ.
Забыл пароль от подписи, что делать?
Ответ зависит от места хранения ключа. PIN-код токена сбрасывается администратором носителя, при исчерпании попыток устройство блокируется и сертификат перевыпускается. Пароль от Госключа не восстанавливается: приложение переустанавливается, а подпись выпускается заново, уже с новым сроком действия. Доступ к облачной подписи восстанавливается по регламенту удостоверяющего центра, который ее выдал.
Зачем компании вести журнал ЭЦП и что в него включать?
Журнал закрывает два вопроса: кто из сотрудников какой подписью пользуется и когда истекает срок действия сертификата. В реестр сертификатов вносят владельца, издателя, серийный номер, период действия и назначение подписи. Отдельно ведут реестр выданных токенов с отметкой о возврате при увольнении. Без такого учета сроки перевыпуска обнаруживаются в момент, когда документ уже нужно подписать.
Что такое eSmart Token ГОСТ и чем он отличается от Рутокена?
Это USB-носитель для хранения ключей и сертификатов по российским криптоалгоритмам, альтернатива Рутокену и JaCarta. Для работы с ним на компьютер устанавливается драйвер производителя, иначе криптопровайдер не увидит контейнер. Функционально выбор носителя влияет на два параметра: поддерживает ли устройство неизвлекаемые ключи и какая у него сертификация. Если токен используется как хранилище извлекаемых ключей, достаточно сертификации ФСТЭК, для генерации ключей на борту требуется сертификация ФСБ.
Можно ли иметь два действующих сертификата на одного человека одновременно?
Да, это не запрещено. Сотрудник может держать сертификат, полученный в удостоверяющем центре ФНС, и отдельный сертификат физического лица для работы по МЧД. Подписывать документ по доверенности нужно тем сертификатом, данные которого совпадают со сведениями о доверенном лице в МЧД: проверяются ФИО и СНИЛС.
Как быстро можно получить электронную подпись?
Самый быстрый вариант для физического лица — УНЭП в приложении Госключ при подтвержденной учетной записи на Госуслугах, выпуск занимает минуты. УКЭП в том же приложении выпускается при наличии биометрического загранпаспорта и смартфона с NFC. Квалифицированный сертификат руководителя в удостоверяющем центре так быстро не получить: первичная выдача проходит только при личном визите, и по доверенности ее не оформить.
