Цифровая подпись в PDF — это три разных механизма, которые внешне выглядят почти одинаково. Первый: картинка, скан или набранный текст через инструмент «Заполнить и подписать», иногда с готовым штампом «Подписано цифровой подписью». Криптографии там нет, изменение файла после такой отметки ничем не фиксируется, и электронной подписью по 63-ФЗ это не является. Второй: встроенная подпись внутри PDF по стандарту PAdES, привязанная к сертификату ключа проверки. Третий: откреплённая подпись CAdES — отдельный файл .sig, .p7s или .sgn рядом с документом. Различие, от которого зависит всё остальное: стоит ли за отметкой сертификат и закрытый ключ. Если не стоит, у вас изображение подписи, а не подпись.
Ниже разберём, как за три минуты определить, что именно лежит в вашем файле, какими средствами подписать PDF по ГОСТ (КриптоПро PDF в Acrobat, КриптоАРМ, cryptcp, веб-сервис, Госключ) и почему в одних сценариях подпись кладут внутрь PDF, а в других — рядом отдельным файлом. Покажем, что делать с .p7s от контрагента и как проверить подпись после того, как сертификат истёк. Требования к рабочему месту, штампы времени, МЧД, тарифы на 2026 год и ответы на частые вопросы — во второй половине статьи.
Подписать PDF откреплённой или присоединённой подписью и сразу получить файл подписи можно прямо здесь, из браузера.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Три разные сущности, которые в PDF называют цифровой подписью
Путаница начинается с интерфейса: и рисованная закорючка, и криптографическая подпись в просмотрщике называются «подписью». Технически это объекты разной природы. Отметка «Заполнить и подписать» — обычный элемент страницы, такой же, как комментарий или картинка. Встроенная подпись PAdES — структура внутри PDF, где лежат значение подписи, сертификат и, при желании, графическое представление. Откреплённая подпись CAdES — контейнер формата CMS (он же PKCS#7) в отдельном файле, который хранит хеш документа, подпись этого хеша и сертификат.
| Что это | Где находится | Сертификат и криптография | Что будет, если файл изменить |
|---|---|---|---|
| Отметка «Заполнить и подписать»: рисунок, скан, набранный текст, готовый штамп | Внутри PDF как элемент страницы | Нет | Ничего: правка не фиксируется и не обнаруживается |
| Встроенная подпись PAdES | Внутри PDF отдельной структурой | Да | Проверка даёт отрицательный результат |
| Откреплённая подпись CAdES: файл .sig, .p7s, .sgn, .sign, .bin | Отдельным файлом рядом с документом | Да | Проверка даёт отрицательный результат |
| Визуализация подписи: штамп, добавленный на копию документа | Внутри копии, оригинал не меняется | Нет, копия юридически значимой версией не является | На проверку не влияет: проверяют оригинал и файл подписи |
Четвёртая строка — причина большинства споров внутри компаний. Когда документ подписан откреплённой подписью, при открытии исходного PDF никаких следов подписания не видно, поэтому системы электронного архива делают точную копию документа и добавляют на неё штамп. Целостность оригинала при этом остаётся нетронутой, а копия со штампом нужна для чтения и печати.
Почему штамп «Подписано цифровой подписью» сам по себе ничего не доказывает
63-ФЗ описывает три вида подписи: простую, усиленную неквалифицированную и усиленную квалифицированную. Простая подпись фиксирует только факт подписания: никаких преобразований с содержимым документа не происходит, поэтому проверить неизменность файла после подписания невозможно. Усиленные подписи получаются криптографическим преобразованием: сначала считается хеш документа, затем хеш подписывается закрытым ключом. При проверке хеш пересчитывается заново, и расхождение означает, что документ изменился.
Штамп в PDF в эту схему не входит вообще. Он нарисован поверх страницы и не связан ни с хешем, ни с сертификатом. Распечатка документа со штампом об электронной подписи юридической силы не имеет: значимым остаётся электронный оригинал с подписью, которую можно проверить. То же самое относится к PDF, где штамп есть, а подписи нет: получатель видит картинку и не может ни установить подписанта, ни убедиться, что текст не правили.
Внимание: простая электронная подпись не позволяет проверить целостность и неизменность документа после подписания — фиксируется только сам факт подписания. Для документов, которые могут быть оспорены, этого не хватает.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Штамп на документе — это визуализация для человека, а не подпись. Юридически значим электронный оригинал вместе с файлом подписи, и именно эту пару запрашивают при разборе спора. Если контрагент прислал только PDF со штампом, запрашивайте исходный файл и подпись к нему: без них проверить нечего.»
Что смотрят при разборе спора
В трудовых спорах по электронным документам суд проверяет не картинку, а обстоятельства подписания: действовал ли сертификат на момент подписания, каким регламентом описан порядок применения подписи, был ли документ передан на подписание в неизменном виде. В известных делах против крупного банка и алкогольного ритейлера суды встали на сторону работников: доказать, что человек подписал именно тот документ и именно тогда, работодатель не смог. Формально там речь шла об усиленной неквалифицированной подписи, а не о штампе, и этого уже оказалось недостаточно.
Важный нюанс из практики: проблема почти никогда не в криптографии, а в комплекте доказательств. Когда в архиве лежит PDF со штампом, а исходный файл и файл подписи потеряны при пересылке или пересохранении, восстановить доказательство подписания нельзя — документ приходится подписывать заново.
Как за три минуты понять, что у вас на руках
Диагностика выполняется до того, как вы начнёте искать средство подписи или спорить с контрагентом. Пять шагов ниже закрывают почти все входящие файлы.
Как определить тип подписи в PDF: пошаговая инструкция
- Шаг 1. Откройте PDF и раскройте панель подписей просмотрщика. Если панели с записью о подписи нет, а на странице есть штамп или закорючка, встроенной подписи в файле нет.
- Шаг 2. Посмотрите содержимое папки. Файл подписи лежит рядом и называется так же, как документ, с добавочным расширением: zayavlenie.pdf и zayavlenie.pdf.sig. Размер выдаёт его сразу — документ занимает десятки и сотни килобайт, файл подписи обычно единицы килобайт.
- Шаг 3. Проверьте расширение файла подписи: .sig, .p7s, .sgn, .sign или .bin. Все они содержат один и тот же контейнер CMS, но не каждая программа принимает любое из этих расширений.
- Шаг 4. Загрузите документ и файл подписи в средство проверки. Для присоединённой подписи загружается один файл, для откреплённой — пара «документ плюс подпись».
- Шаг 5. Сохраните протокол проверки. В нём фиксируются статус подписи, владелец сертификата, издатель, срок действия и алгоритмы ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012. Протокол и есть то, что вы приложите к делу, а не скриншот.
Сверить результат независимо можно в государственном сервисе подтверждения подлинности электронной подписи: он принимает и присоединённую, и отсоединённую подпись и выдаёт данные сертификата подписанта. В сервисе Добыто.Подпись проверка устроена так же: вид подписи выбирается переключателем на первом шаге, а протокол проверки скачивается отдельным файлом.
Отдельно про ложные ошибки. Сообщение «по крайней мере одна подпись недействительна» и «личность подписавшего не установлена» в стандартном просмотрщике обычно означает, что на машине не установлены корневые сертификаты цепочки или нет поддержки российских алгоритмов. Для квалифицированного сертификата цепочка доверия ставится вместе с сертификатом, а для неквалифицированного корневые сертификаты приходится устанавливать вручную: система не доверяет им по умолчанию, и на этом ломается проверка.
Чем реально подписать PDF по ГОСТ: четыре рабочих стека
Выбор средства зависит от того, нужна ли подпись внутри PDF, нужна ли сертификация ФСБ и сколько документов подписывается за раз.
КриптоПро CSP плюс КриптоПро PDF в Adobe Acrobat. Классический вариант для встроенной подписи: криптопровайдер даёт ГОСТ-алгоритмы, плагин добавляет пункт подписания в Acrobat и настройку внешнего вида штампа. Подпись при этом настоящая, а штамп — её графическое представление, а не самостоятельная сущность.
КриптоАРМ. В КриптоАРМ ГОСТ 3 есть подписи CMS и CAdES, включая CAdES-A с поддержкой служб штампов времени и статусов сертификатов, а встроенной подписи PDF нет: вместо неё работает визуализация — штамп добавляется не на оригинальный документ, а на его копию. Мастер подписи и защиты PDF со встроенной подписью, пакетным подписанием и сертификацией документа появился в версии 6. Сертифицированное исполнение КриптоАРМ ГОСТ 3 поставляется в составе КриптоПро CSP 5.0 R3 по классам КС1 и КС2, сертификат действует до мая 2027 года.
КриптоЭксперт. Умеет подписывать и проверять PDF, поддерживает сертификацию документа, усовершенствованную подпись CAdES-X Long Type 1 и архивную, а также подпись с приложением МЧД и проверку статусов доверенности. Сертификата ФСБ у продукта нет, и для сценариев, где требуется сертифицированное средство электронной подписи, это дисквалифицирующее ограничение.
Командная строка и сервер. Для пакетов документов используются утилита cryptcp из состава КриптоПро и серверные решения, которые подписывают и проверяют подпись автоматически, формируют протоколы и умеют улучшать подпись до долгосрочных форматов. Отдельный сценарий — подписание обезличенным сертификатом, который выдаётся удостоверяющим центром ФНС на юридическое лицо или ИП и привязывается к информационной системе: им подписывают документы, которые система формирует сама. Сотрудник обезличенным сертификатом не подписывает.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Лайфхак: для проверки чужой подписи лицензия на КриптоАРМ не требуется — продукт ставится и проверяет подписи без её установки. Покупать лицензию нужно тому, кто подписывает.
Как подписать PDF встроенной подписью через КриптоПро PDF
- Шаг 1. Установите КриптоПро CSP и убедитесь, что сертификат виден в личном хранилище, а контейнер закрытого ключа доступен: токен подключён, ПИН известен.
- Шаг 2. Поставьте модуль КриптоПро PDF установщиком cppdfsetup.exe и проверьте, что он появился в меню плагинов Acrobat.
- Шаг 3. Введите лицензию на модуль. Без действующей лицензии подписание в Acrobat недоступно, проверка подписи работает.
- Шаг 4. Откройте документ, выберите подписание сертификатом и явно укажите метод подписания КриптоПро PDF, иначе ГОСТ-сертификаты в списке не появятся.
- Шаг 5. Настройте внешний вид штампа и область на странице, где он будет отображаться, затем подтвердите подписание вводом ПИН-кода к контейнеру.
- Шаг 6. Проверьте результат в панели подписей и сохраните файл. Любое последующее редактирование страницы делает подпись недействительной.
Шаблоны и памятки для работы с электронной подписью в документах
Комплект для тех, кто принимает и проверяет подписанные файлы: начните с чек-листа диагностики, если подпись не проходит проверку.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Шпаргалка по командам cryptcp | Скачать |
| Адреса служб штампов времени TSP | Скачать |
| Памятка бухгалтерии: файл SGN от контрагента | Скачать |
| Шаблон МЧД: образец и структура XML | Скачать |
Файлы .sig, .p7s и .sgn: что означает расширение
Расширение файла подписи — это настройка программы, а не отдельный формат. В параметрах подписания КриптоАРМ расширение выбирается из списка: sig, p7s, sgn, sign, bin. Внутри во всех случаях лежит контейнер CMS, он же PKCS#7, с хешем документа, подписью и сертификатом. Программа получателя при этом может быть привязана к конкретному расширению и отказаться принимать файл, содержимое которого её полностью устраивает.
В практике Добыто основная часть обращений «файл подписи не открывается» приходится именно на расширение и на попытку открыть контейнер как документ, а не на дефект самой подписи.
Практический вывод для приёмки: если контрагент прислал документ и файл .sgn, а ваша система понимает только .sig, задача решается переименованием, а не перевыпуском подписи. Для партии файлов это делается одной командой Rename-Item в PowerShell, целостность контейнера при переименовании не нарушается. Перед массовым переименованием проверьте одну пару файлов и убедитесь, что подпись проходит проверку.
Присоединённая и откреплённая подпись различаются не форматом, а тем, где лежит документ. В присоединённой подписи документ упакован внутрь контейнера: потерять его отдельно от подписи невозможно, но и открыть исходный файл без специального средства не получится. В откреплённой документ остаётся читаемым как обычный PDF, зато передавать и хранить нужно оба файла. Для кадрового электронного документооборота установлен формат pdf/a-1a, а подпись работника возвращается откреплённым файлом.
Штампы времени: как подпись переживает истечение сертификата
Сертификат конечен, а документ хранится дольше. Когда срок действия сертификата закончился, при обычной подписи невозможно доказать, что подписание произошло в период его действия. Проблему решает усовершенствованная подпись: к ней добавляются штамп времени от доверенной службы TSP, ответы службы актуальных статусов сертификатов OCSP и, на верхнем уровне, архивная метка, которая заверяет предыдущие. По уровням это выглядит как переход от CAdES-BES к CAdES-T, дальше к CAdES-X Long Type 1 и к архивной CAdES-A.
Факт: Госключ возвращает откреплённый файл .sig на каждый направленный документ, в одном пакете можно отправить до 50 файлов, а подпись формируется в формате CAdES-T — с меткой доверенного времени. Расширение до CAdES-A выполняется уже на стороне информационной системы работодателя.
Мария Ж, юрист со стажем более 20 лет: «Метке времени при внедрении почти никогда не уделяют внимания, а всплывает она через год, когда сертификат уже недействителен и нужно доказать момент подписания. Заложите обращение к службе штампов времени сразу, на этапе выбора формата подписи: переподписать архив задним числом не получится.»
Для документов с долгим сроком хранения периодическая проверка архива и переподписание входят в регламент: серверные средства подписи умеют сами находить документы, у которых пора улучшить подпись, и выполнять эту операцию по расписанию.
Рабочее место: КриптоПро CSP, токены и ключи
Версия криптопровайдера определяет, какие носители и алгоритмы вам доступны. Сертификаты на все релизы линейки КриптоПро CSP 5.0 — R1, R2 и R3 — действуют до 1 мая 2027 года, по классам КС1, КС2 и КС3. У четвёртой версии сертификат действует до 15 января 2026 года. В 5.0 R3 браузерный плагин встроен в дистрибутив, добавлен SDK для формирования усовершенствованных подписей и обращения к службам штампов времени и проверки статусов сертификатов, а поддержка Windows XP прекращена: последней версией, которая её неофициально поддерживала, была 5.0 R2.
Ключи делятся на извлекаемые и неизвлекаемые. Извлекаемый ключ на время операции попадает в оперативную память компьютера, токен при этом работает как защищённое ПИН-кодом хранилище. Неизвлекаемый генерируется криптоядром самого токена и память устройства не покидает, скопировать его нельзя. Для неизвлекаемых ключей есть два режима: PKCS#11 и ФКН, где канал между криптопровайдером и токеном дополнительно защищён протоколом SESPAKE. Удостоверяющий центр ФНС по своему регламенту выдаёт только неэкспортируемый контейнер.
Полезно знать: удостоверяющие центры включают лицензию на КриптоПро CSP в состав сертификата, и тогда она действует ровно столько, сколько сертификат. Отдельная полная лицензия нужна, если вы генерируете запросы на сертификат сами или работаете с ключами других центров.
Кейс из практики: при планировании парка токенов упираются в память, а не в бюджет. На 128 КБ защищённой памяти помещается до 31 контейнера в формате CSP, но верхняя оценка одного контейнера с длинной цепочкой сертификатов доходит до 12 КБ — тогда на устройство влезает около десяти. Считать нужно по фактическому размеру контейнера, а не по числу 31.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Пароль от контейнера и ПИН токена не восстанавливаются: если сотрудник забыл их, ключ выпускается заново. То же самое с мобильной подписью — при удалении приложения доступ к закрытому ключу теряется, и новая подпись будет уже другой, со своим сроком действия. Заведите реестр выданных сертификатов и носителей до того, как это случится в первый раз.»
Если вы отвечаете за инфраструктуру и читаете это со стороны работодателя: журнал выданных подписей, сроки действия сертификатов и привязку носителей к сотрудникам удобнее вести в той же системе, где документы подписываются. В Добыто подписи ПЭП и УНЭП для сотрудников выпускаются внутри сервиса, и отдельный парк токенов под кадровые документы не появляется.
Когда одной подписи в PDF мало: МЧД
Сертификаты на сотрудника с указанием организации больше не выпускаются. Сотрудник получает квалифицированный сертификат на себя как на физическое лицо, а полномочия подтверждает машиночитаемая доверенность — XML-файл, подписанный подписью руководителя. Полномочия в ней задаются кодами из классификатора, размещённого в единой системе нормативной и справочной информации: доверенность читает не человек, а алгоритм проверяющей стороны. Если нужного полномочия в классификаторе нет, организация направляет свой перечень в Минцифры, решение принимается в течение 10 дней, коды присваиваются за три рабочих дня.
Мария Ж, судебный эксперт по трудовому праву: «Подписывать МЧД нужно тем же сертификатом, которым потом подписывается документ: иначе связь между доверенностью и подписантом придётся доказывать отдельно. И отзывайте сертификат при увольнении через удостоверяющий центр, который его выдал: удаление контейнера из реестра рабочей станции сертификат не аннулирует.»
Когда встроенная подпись в PDF не нужна
Встроенная PAdES-подпись удобна для чтения и печати, но подходит не всегда. Отказывайтесь от неё в четырёх ситуациях.
- Формат обмена задан регламентом. В кадровом документообороте документ передаётся в pdf/a-1a, а подпись возвращается откреплённым файлом. Госключ синие штампы в документ не добавляет вообще: он формирует файл подписи, а печатную форму со штампом при необходимости создаёт уже система работодателя.
- В пакете не только PDF. Когда на подпись идёт комплект из PDF и XML, единый механизм даёт откреплённая подпись: на каждый файл возвращается свой файл подписи.
- Нужно сертифицированное средство подписи. Продукты, где встроенная подпись PDF есть, и продукты, у которых есть сертификат ФСБ, — не всегда одно и то же. В сертифицированное исполнение КриптоАРМ ГОСТ 3 подпись PDF не вошла.
- Документ будут дорабатывать. Любое редактирование страницы после подписания делает встроенную подпись недействительной. Если правки ещё возможны, подписывайте финальную версию.
Обратная ситуация тоже встречается: если документ нужен только для ознакомления и печати, а юридически значимая пара «файл плюс подпись» хранится в архиве, штамп на копии закрывает задачу и никакой подписи в самом PDF не требуется.
Стоимость подключения электронной подписи для сотрудников: тарифы 2026
Стоимость зависит от численности и набора функций: электронные подписи для сотрудников входят в тариф и отдельно не покупаются.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | в день подключения |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | 1 день на установку и настройку |
Итоговая сумма складывается из численности и выбранного набора функций, а УКЭП выпускается через партнёров-удостоверяющих центров. Условия по каждому тарифу и состав функций опубликованы на странице тарифов Добыто КЭДО.
Переход между тарифами возможен в любой момент: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Отметка в PDF становится электронной подписью только тогда, когда за ней стоят сертификат ключа проверки и закрытый ключ. Всё остальное — изображение: оно помогает читать документ, но не подтверждает ни авторство, ни неизменность текста. Встроенная подпись PAdES удобна для наглядности, откреплённая CAdES универсальнее для пакетов и архивов, а долгосрочная проверка обеспечивается штампом времени и ответами службы статусов сертификатов. Прежде чем менять средство подписи, определите тип уже имеющегося файла: значительная часть обращений закрывается переименованием расширения или установкой корневых сертификатов.
Мы в Добыто ежедневно разбираем такие файлы на стороне кадрового документооборота: подписание идёт из браузера, подпись возвращается отдельным файлом, а печатная форма со штампом формируется как копия, не затрагивая юридически значимую версию документа.
Частые вопросы
Можно ли подписать PDF настоящей электронной подписью со смартфона?
Да, двумя путями. Первый — мобильное приложение Госключ: подпись возвращается откреплённым файлом .sig, сертификат действует 12 месяцев, напоминания об окончании приходят за 30 календарных дней пуш-уведомлением, за 14 дней на Госуслуги и за 7 дней в само приложение. Второй — мобильная версия средства подписи с токеном по NFC: карта или токен прикладывается к телефону, ключ при этом остаётся на носителе. Почтового клиента в мобильных версиях нет, только подпись и шифрование.
Почему подпись проходит проверку в КриптоАРМ, но Acrobat пишет, что личность подписавшего не установлена?
Стандартный просмотрщик не знает российских алгоритмов и не имеет в доверенных корневых сертификатов вашей цепочки. Для квалифицированного сертификата цепочка обычно ставится вместе с самим сертификатом, для неквалифицированного её нужно устанавливать вручную. Само сообщение о недействительности при этом не говорит о подделке: проверять результат следует средством, которое поддерживает ГОСТ Р 34.10-2012.
Сколько подписей можно поставить на один PDF?
Ограничения по количеству нет. При встроенной подписи каждая следующая накладывается поверх уже подписанного файла, и в документе накапливаются последовательные подписи. При откреплённой на каждого подписанта создаётся свой файл подписи, и на комплект из документа и двух подписей приходится три файла. Если после подписания включена сертификация документа, вносить изменения в него уже нельзя.
Можно ли подписывать PDF обезличенным сертификатом организации?
Обезличенный сертификат выдаётся удостоверяющим центром ФНС на юридическое лицо или ИП и привязывается к информационной системе. Им подписывают документы, которые система формирует автоматически: запросы в госорганы, счета, квитанции. Сотрудник таким сертификатом не подписывает. Перевыпуск на сегодня возможен только при личном посещении инспекции.
Что произойдёт с подписью, если PDF пересохранить или сжать?
Проверка даст отрицательный результат. И встроенная, и откреплённая подпись считаются от содержимого файла, поэтому пересохранение, сжатие, конвертация и даже добавление комментария меняют хеш. Пересылать подписанный документ нужно как есть: архивом вместе с файлом подписи, без обработки почтовыми и файловыми сервисами, которые пережимают вложения.
Нужна ли МЧД, если документ подписывает сотрудник филиала?
Филиал не является самостоятельным юридическим лицом, поэтому доверенность выдаёт руководитель головной организации своей квалифицированной подписью, а сотрудник подписывает документ сертификатом физического лица с приложением этой доверенности. Передоверие внутри структуры оформляется нотариально: нотариус проверяет данные, создаёт новую доверенность и подписывает её своей квалифицированной подписью. Для этого потребуются паспортные данные уполномоченного лица и актуальная выписка из ЕГРЮЛ.
