Документ не подписывается электронной подписью в 90% случаев из-за трёх причин: сертификат истёк или отозван, не установлен корневой сертификат удостоверяющего центра, либо версия КриптоПро CSP не совпадает с форматом ключа на токене. Разберём каждую причину по шагам — что проверить в сертификате, как настроить браузерный плагин, почему не подписывается PDF и Word, что делать с Рутокеном и Госключом. Материал входит в большой разбор про программы для подписания документов электронной подписью, где собраны инструменты под все форматы файлов.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Почему документ не подписывается электронной подписью: главные причины
Сообщение об ошибке при подписании почти всегда указывает не на поломку подписи, а на разрыв в цепочке «сертификат — криптопровайдер — носитель — программа». Что-то одно из этой цепочки выпало. И пока не найдёшь выпавшее звено, документ не подпишешь.
Собрала список причин, которые встречаются в работе чаще всего. Дальше по тексту разберём каждую отдельно, но общая карта такая:
- истёк срок действия сертификата или ключа подписи;
- сертификат отозван удостоверяющим центром и попал в список отозванных;
- не установлен корневой сертификат УЦ или Минцифры — цепочка не строится;
- личный сертификат не привязан к контейнеру закрытого ключа;
- из нескольких сертификатов выбран старый, недействующий;
- не установлен или отключён КриптоПро ЭЦП Browser Plug-in;
- версия КриптоПро CSP не поддерживает формат ключа (FKN, cs11);
- истекла лицензия КриптоПро CSP на компьютере;
- токен не вставлен в USB или не установлены драйверы носителя;
- файл слишком большой (свыше 30 МБ) или не того формата;
- подписание идёт через RDP без проброса токена в сессию.
Четырнадцать лет практики говорят: девять из десяти обращений закрываются проверкой первых пяти пунктов. Остальное — редкие технические истории с версиями криптопровайдера, до них дойдём.
Мария Ж, специалист по цифровой подписи и КЭДО:
«Когда человек говорит — у меня ЭЦП не работает, я первым делом прошу открыть сертификат и посмотреть срок. В половине случаев там всё, серт просрочен на неделю, а человек три дня переустанавливал крипту. Логику искать бессмысленно, просто выпускаете новую подпись и подписываете.»
Проблемы с сертификатом и ключом электронной подписи
Сертификат — это первое, что смотрим. У него есть срок действия, обычно год с даты выпуска. Подписать документ сертификатом, у которого срок вышел, нельзя — подпись не создастся, а если создастся кривая, то не пройдёт проверку. Нюанс в том, что срок действия ключа подписи (докогда можно подписывать) и срок ключа проверки (докогда можно проверять уже подписанное) — разные вещи. Для подписания важен первый.
Вторая история — сертификат отозван. Если закрытый ключ скомпрометировали или сотрудник уволился, серт отзывают через удостоверяющий центр, и он попадает в список отозванных (СОС, он же CRL). Документы, подписанные после отзыва, проверку не проходят. Проверить отзыв можно на портале Госуслуг или в КриптоПро.
Третья причина тоньше. Личный сертификат не привязан к контейнеру закрытого ключа. Флешка вставлена, серт в системе виден, а подписать не даёт — потому что система не понимает, каким закрытым ключом подписывать. Лечится в КриптоПро CSP: вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», через «Обзор» выбираете нужный контейнер и устанавливаете связку.
Четвёртое — на токене несколько сертификатов, и выбран не тот. Такое бывает, когда подпись перевыпускали, а старый серт остался. Отсортируйте по дате, берите свежий. Старый будет выдавать ошибку при каждой попытке.
Мария Ж, судебный эксперт по трудовому праву:
«Отдельная засада — разрыв цепочки. У УКЭП корневые ставятся на токен автоматом при выпуске, а вот у УНЭП закрытка есть, а корневые никто не поставил. Крипто-провайдер ругается, что не найден корневой серт, и всё встаёт. Дважды кликаете на сертификат, ставите его как доверенный — и цепочка собирается.»
Ошибки КриптоПро CSP и браузерного плагина
Браузерный плагин — вечный источник ошибок при подписании на сайтах: Госуслуги, налоговая, торговые площадки. Для работы нужны сам КриптоПро CSP версии 5.0 R2 (сборка 12000 и выше), плагин КриптоПро ЭЦП Browser Plug-in и включённое расширение в браузере. Если хоть одного элемента нет, кнопка «Подписать» либо неактивна, либо выдаёт ошибку. Мы в сервисе Добыто при настройке подписания на клиентских машинах первым делом гоняем страницу проверки плагина на сайте КриптоПро — она сразу показывает, видит ли браузер крипту. Полный разбор, почему не работает браузерный плагин КриптоПро, мы вынесли в отдельную инструкцию с 12 сценариями.
Теперь про несовместимость версий — причина, которую вычислить сложнее всего. Закрытый ключ на токене создают в одном из трёх режимов: обычный извлекаемый (ЦСП), FKN с защитой канала и cs11 (PKCS#11). Ключ в формате FKN работает только с КриптоПро не старше 5.0 — на CSP 4.0 такой ключ не заведётся и не подпишет. Ключи cs11 в версии 5.0 R2 не работали в терминальных сессиях и Windows Logon, это починили только в 5.0 R3 (сборки 12500 и 12600). Вывод простой: если подпись используете на разных компьютерах с разными версиями CSP, делайте пассивный извлекаемый ключ, иначе на старой машине документ не подпишется.
Ещё одна частая блокировка — лицензия. Встроенная крипта на токене и установленный КриптоПро CSP — разные вещи. Для подписания CSP надо поставить на компьютер и ввести лицензию. Если лицензия CSP на машине истекла, то ключом, у которого лицензия вшита в сам сертификат (так делает УЦ ФНС в рамках эксперимента), подписать всё равно можно. А вот для остальных ключей нужна действующая лицензия. И помните: лицензия от версии 4.0 к версии 5.0 не подходит, нужна именно лицензия на пятёрку.
Мария Ж, специалист по цифровой подписи:
«Классические грабли — человек купил токен со встроенной криптой и думает, что этого хватит. А CSP на компе не стоит или демо-режим кончился, три месяца прошло. Ставите КриптоПро, вводите лицензию — и подпись оживает. Денюжки за лицензию на пятёрку, к сожалению, отдельные.»
Подписать документ электронной подписью онлайн
Не подписывается PDF, Word или Excel: что делать
Формат файла диктует, чем подписывать. Не любая программа умеет работать со всеми типами документов. Для PDF нужен либо плагин КриптоПро PDF в Adobe Acrobat Reader, либо софт с поддержкой PDF-подписи — Crypto Expert, Крипто АРМ 6 со встроенным просмотрщиком. Word и Excel подписывают через надстройку КриптоПро Office Signature. Если пытаетесь подписать PDF программой, которая PDF не поддерживает, получите ошибку — и это не поломка подписи, а неверный инструмент. Отдельный разбор ошибок при подписании PDF в КриптоПро мы собрали в помощь тем, у кого документ не подписывается именно в Adobe.
Размер файла тоже играет роль. Если документ тяжёлый, свыше 30 МБ, крипто-провайдер токена не сформирует дайджест — подпись на борту токена не создастся. В таких случаях хэш считают программно, в КриптоПро или библиотеке, а на токен отправляют уже готовый хэш. В сервисе Добыто мы это учли на уровне архитектуры: документ хэшируется в приложении, на подпись уходит только слепок, поэтому массивные ЛНА и пачки приказов подписываются без затыков.
Есть и формат подписи как таковой. Присоединённая подпись сидит внутри документа, отсоединённая лежит рядом отдельным sig-файлом. Если контрагент прислал документ и отдельный sig-файл, а вы пытаетесь открыть его как обычный PDF — подписи не увидите. Для проверки грузить надо оба файла: и документ, и sig.
Как подписать документ, если он не подписывается: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Откройте сертификат и проверьте срок действия. Просрочен — выпускайте новый, дальше можно не искать.
- Шаг 2. Проверьте, вставлен ли токен в USB и установлены ли драйверы носителя (Рутокен, JaCarta, eSmart).
- Шаг 3. В КриптоПро CSP на вкладке «Сервис» через «Просмотреть сертификаты в контейнере» убедитесь, что личный сертификат привязан к контейнеру.
- Шаг 4. Установите корневые сертификаты УЦ и Минцифры, чтобы собралась цепочка. Для УНЭП корневые ставят вручную.
- Шаг 5. Проверьте лицензию КриптоПро CSP и версию: для ключей FKN и cs11 нужна версия 5.0 и выше.
- Шаг 6. Выберите программу под формат файла: PDF — Adobe с плагином или Крипто АРМ, Word и Excel — Office Signature.
- Шаг 7. Если подписываете на сайте, включите КриптоПро ЭЦП Browser Plug-in и расширение в браузере, прогоните страницу проверки плагина.
Возня с версиями CSP, корневыми сертификатами и форматами ключей — тот момент, где проще передать настройку тем, кто делает это каждый день. Наши специалисты знают практику работы с УЦ ФНС, Госключом и всеми популярными токенами — настраиваем подписание так, чтобы кадровик и сотрудник просто нажимали кнопку, а не разбирались с криптографией.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Образцы документов для работы с электронной подписью
Открыть список документов
| Документ | Скачать |
|---|---|
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Согласие на обработку ПДн для выпуска сертификата ЭП | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Шаблон соглашения по ЭДО | Скачать |
| Руководство пользователя Добыто КЭДО | Скачать |
Токен, Рутокен и носитель ключа: аппаратные причины
Иногда дело не в софте, а в железе. Токен не вставлен в USB — подпись не создастся, потому что закрытому ключу негде взяться. Драйверы носителя не установлены — система токен не увидит. Рутокен качают с сайта Актив, JaCarta с Аладдин, eSmart с сайта производителя. Пока драйвер не встал, никакая крипта токен не поднимет.
Тип носителя тоже важен. Пассивный токен (Рутокен Лайт, старые Рутокен ЭЦП 2.0 в режиме CSP) — это просто хранилище, работает с CSP 4.0 и выше. Активный носитель Рутокен ЭЦП 3.0 генерирует неизвлекаемые ключи прямо внутри чипа, ключ рождается, живёт и умирает на борту токена, скопировать его нельзя. Память Рутокен ЭЦП 3.0 — 128 КБ, в извлекаемом формате туда помещается до 31 контейнера. Подпись на борту токена занимает порядка 0,3 секунды. А вот подпись через Bluetooth медленная, 20-30 секунд на документ, но это не ошибка, а особенность беспроводного канала.
Отдельная тема — RDP и терминальные сессии. Протокол RDP конструктивно не работает с удалённым токеном. Если подписываете документ на сервере через удалённый рабочий стол, а токен воткнут в локальный компьютер, подпись не пройдёт. Нужно пробросить токен в сессию и поднять защищённый канал. В сервисе Добыто мы для распределённых команд обходим это через мобильное подписание — сотруднику не нужен токен на рабочем месте, он подписывает с телефона.
Мария Ж, соучредитель сервиса КЭДО Добыто:
«На одном проекте бухгалтерия неделю не могла подписать первичку — все сидели в терминалке, а рутокены торчали в локальных машинах. Никто не пробросил токен в сессию. Как только развернули облачную подпись, вопрос закрылся за день. Иногда шайтан-машина не виновата, виновата схема доступа.»
Госключ и облачная подпись: почему документ не подписывается
Госключ — мобильное приложение Минцифры, где выпускают УНЭП и УКЭП. Частая причина, по которой через него не подписать: приложение удалили. Закрытая часть ключа хранится только на телефоне, и восстановления нет — ни у Минцифры, ни у госслужб доступа к ней нет, только пароль пользователя. Снёс приложение — потерял подпись, придётся выпускать новую с новым сроком. Для облачной подписи от удостоверяющего центра логика другая: закрытый ключ лежит в облаке УЦ, и ответственность за его сохранность несёт центр, а не пользователь.
Ещё момент про Госключ — у него пока нет штампов доверенного времени. Для оперативного подписания это не мешает, но для документов, которые должны храниться годами, момент подписания без метки времени доказать сложно. Об этом дальше, в разделе про проверку.
Стоимость подписания документов и КЭДО в сервисе Добыто
Стоимость зависит от численности штата, выбранного тарифа и набора модулей — от простого подписания до полноценного кадрового документооборота с электронным архивом. Ниже базовые тарифы сервиса.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — для небольших компаний, начинающих переход на КЭДО | от 30 ₽ за сотрудника / мес | до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны |
| Бизнес — для среднего бизнеса с полным набором функций | от 50 ₽ за сотрудника / мес | без лимита сотрудников, ПЭП, УНЭП и УКЭП, интеграция с 1С, электронный архив |
| Корпорация — для крупного бизнеса с расширенными требованиями и SLA | по запросу | всё из Бизнеса, выделенный сервер, SLA 99.9%, API |
Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться под свой штат точнее.
Проверка электронной подписи онлайн — сервис Добыто
Проверка электронной подписи
Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.
1 Выберите тип подписи:
Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.
2 Загрузите документ и подпись:
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Документ
Файл подписи
Ошибки, из-за которых подпись не проходит проверку
Отдельная категория проблем — когда документ вроде подписался, а на проверке подпись не признаётся действительной. Разберу частые ошибки и во что они обходятся.
Ошибка 1. Подписали сертификатом с истёкшим сроком. Делают это по невнимательности — серт формально ещё в системе, кнопка нажимается. Цена ошибки: документ придётся переподписывать, а если это был договор с контрагентом или отчёт в госорган, срок сдачи можно пропустить со всеми штрафами.
Ошибка 2. Приняли за подпись распечатку со штампиком. Штамп подписи на бумаге — это картинка, юридически она ничего не значит, проверить её нельзя. Цена ошибки: в споре такой документ не докажет ничего, юридическую силу несёт только электронный оригинал с файлом подписи. Проверить статус подписи можно на портале Госуслуг — там есть сервис проверки электронной подписи для документов и отсоединённых sig-файлов.
Ошибка 3. Не отозвали подпись уволенного сотрудника. Удаление человека из реестра компании не равно отзыву его подписи — серт на физлицо и МЧД остаются действующими. Цена ошибки прямая: бывший работник технически может подписывать документы от лица компании. Отзывать надо заявлением в удостоверяющий центр или ФНС, лично.
Ошибка 4. Не поставили метку доверенного времени на долгосрок. По 63-ФЗ метка жёстко не требуется, но без неё нельзя доказать момент подписания. Цена ошибки всплывает через годы: для архивного хранения нужна усовершенствованная подпись со штампом времени (TSP) и OCSP-ответами. Штамп времени дают ФНС, удостоверяющие центры, 1С и Контур.
Выводы: что проверить, если документ не подписывается
Электронная подпись не создаётся из-за конкретного разрыва в цепочке, а не из-за общей поломки. Начинать диагностику надо со срока действия сертификата — это закрывает половину случаев. Дальше проверяют привязку сертификата к контейнеру, установку корневых сертификатов УЦ и Минцифры, наличие и включение КриптоПро ЭЦП Browser Plug-in. Для ключей в формате FKN и cs11 нужна версия КриптоПро CSP 5.0 и выше, а лицензия от версии 4.0 к пятёрке не подходит.
Формат файла определяет программу: PDF подписывают через Adobe с плагином КриптоПро PDF или Крипто АРМ 6, Word и Excel — через Office Signature. Файлы тяжелее 30 МБ хэшируют программно. Аппаратные причины отдельно: токен должен стоять в USB, драйверы носителя установлены, а при работе через RDP токен пробрасывают в сессию. Госключ хранит закрытый ключ только на телефоне, поэтому удаление приложения означает потерю подписи.
На перспективу стоит закладывать метку доверенного времени и усовершенствованную подпись для всего, что хранится дольше срока действия сертификата — это снимает вопрос доказательства момента подписания. Своевременный отзыв подписей уволенных сотрудников убирает риск подписания документов от имени компании посторонним человеком.
Часто задаваемые вопросы
Почему кнопка «Подписать» неактивна на сайте Госуслуг или налоговой?
Как понять, что сертификат электронной подписи истёк?
Что означает ошибка «не найден корневой сертификат»?
Почему подпись не работает через удалённый рабочий стол (RDP)?
Можно ли подписать документ, если истекла лицензия КриптоПро CSP?
Почему не подписывается большой PDF-файл?
Чем подписать Word и Excel, если КриптоПро выдаёт ошибку?
Что делать, если удалил приложение Госключ?
Почему на токене несколько сертификатов и какой выбрать?
Чем отличается присоединённая подпись от отсоединённой?
Зачем нужна метка доверенного времени при подписании?
Разбираться с версиями КриптоПро, корневыми сертификатами, форматами ключей и пробросом токенов — работа, которая съедает время кадровика и бухгалтера без всякой пользы для дела. Сервис Добыто берёт эту техническую часть на себя: сотрудник подписывает документ в пару кликов, а совместимость подписи, лицензий и носителей закрыта на нашей стороне.
Мы подключили к электронному подписанию сотни компаний по всей стране — от небольших ИП до штата в тысячи человек — и в каждом проекте настраиваем подписание так, чтобы оно работало с первого раза, без ошибок крипты.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — для любого документа
- Мобильное приложение для подписания с телефона — без токена на рабочем месте и похода в отдел кадров
- Хэширование документа в приложении — подписываются даже тяжёлые файлы и пачки документов сразу
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках и в суде
- Готовый коннектор с 1С (ЗУП, КА, ERP) — ставится за час без привлечения разработчиков
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Сопровождение до первых 50 подписаний — ведём клиента до самостоятельной работы