ЭЦП истекла — это значит, что закончился срок действия квалифицированного сертификата ключа проверки электронной подписи, а ключ и носитель остались у вас на руках. Подписать новый документ таким сертификатом уже нельзя: отчетность через сайт ФНС не уйдет, оператор ЭДО не пропустит документ, банк-клиент откажет в авторизации. При этом документы, подписанные до даты окончания, остаются действительными: по статье 11 63-ФЗ сертификат оценивают на момент подписания, если есть достоверная информация об этом моменте, и только при ее отсутствии — на день проверки. Порядок действий определяет одно различие. Если сертификат УЦ ФНС еще действует и не отозван, перевыпуск идет дистанционно в личном кабинете и занимает около 15 минут. Если срок уже прошел, остается личная явка в УЦ ФНС или к доверенному лицу.
Разберем, как отличить истекший сертификат от истекшей лицензии КриптоПро CSP и от просроченной машиночитаемой доверенности: симптомы похожи, а действия разные. Покажем, какие документы придется переподписывать, а какие останутся действительными без вашего участия, и что писать контрагенту, когда переподписать уже нечем. Порядок перевыпуска по шагам, требования к носителю и версии криптопровайдера, образцы реестра сертификатов и письма о переподписании, стоимость подключения КЭДО на 2026 год и ответы на частые вопросы — во второй половине статьи.
Перед тем как что-то перевыпускать, проверьте документ и сертификат под ним: сервис покажет подписанта, издателя, срок действия и статус подписи.
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Что именно истекло: сертификат, лицензия КриптоПро или МЧД
Три разные сущности умирают по-разному, а сообщение на экране у них почти одинаковое. Сертификат электронной подписи выдается на ограниченный срок: у сертификатов УЦ ФНС это 15 месяцев. Лицензия на КриптоПро CSP — отдельный объект, и в сертификатах УЦ ФНС она вшивается внутрь сертификата, а по сроку равна сроку действия самого сертификата. Машиночитаемая доверенность живет по своему календарю и с сертификатом технически не связана.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Диагностику начинают с окна свойств сертификата, а не с переустановки программ. В карточке видно три вещи: владельца, издателя и период действия. Если сертификат отозван, формулировка будет прямой — «сертификат недействителен, сертификат отозван», и это не то же самое, что истечение срока: отозванный сертификат перевыпускают, а не продлевают.
Дальше ориентируйтесь по симптому. Таблица ниже собрана по типовым обращениям, с которыми бухгалтерия приходит после первого отказа системы.
| Что видит бухгалтер | Что закончилось на самом деле | Что делать |
|---|---|---|
| Сертификат не выбирается в списке при подписании, в свойствах дата окончания в прошлом | Срок действия квалифицированного сертификата | Перевыпуск: дистанционно, если срок еще не вышел, иначе личная явка в УЦ ФНС или к доверенному лицу |
| Сертификат есть и по датам действует, но КриптоПро сообщает об истекшей лицензии | Лицензия на криптопровайдер, не связанная с текущим сертификатом | Ввести действующую лицензию либо работать ключом, в сертификат которого лицензия вшита |
| Статус «сертификат недействителен, сертификат отозван» | Сертификат аннулирован досрочно | Выпуск нового сертификата, продление невозможно |
| Подпись сотрудника проходит, но оператор ЭДО помечает документ как проблемный | Срок действия машиночитаемой доверенности или ее полномочий | Выпуск новой МЧД и регистрация ее в реестре ФНС |
| Токен не определяется на новом компьютере, хотя на старом работал | Не установлены драйверы носителя или корневые сертификаты цепочки доверия | Установка драйверов под конкретную модель носителя и корневых сертификатов |
Вывод из таблицы простой: перевыпуск нужен в двух строках из пяти. В остальных трех вы теряете день на визит в удостоверяющий центр, хотя проблема решается на рабочем месте за полчаса.
Факт: в сертификатах УЦ ФНС лицензия на КриптоПро CSP вшивается внутрь сертификата, и по сроку действия она равна сроку действия сертификата электронной подписи. Отдельную лицензию под такой ключ докупать не нужно.
Что происходит с документами, подписанными до истечения срока
Истечение сертификата не аннулирует ранее подписанные документы. Статья 11 63-ФЗ признает квалифицированную подпись действительной, если сертификат был действителен на момент подписания электронного документа — при условии, что о моменте подписания есть достоверная информация. Если момент подписания не определен, действительность сертификата оценивается на день проверки, и здесь истекший сертификат уже дает отрицательный результат.
Достоверную информацию о моменте подписания дает штамп времени от службы TSP, а не поле «заявленное время подписания» внутри контейнера подписи: последнее указывает подписант и переопределить его несложно. Поэтому долговременное хранение строится в четыре шага: подписание при действующем сертификате, добавление метки времени, усовершенствование подписи поверх старой при смене криптоалгоритмов и передача в архив.
Мария Ж, специалист по цифровой подписи и КЭДО: «Логика здесь неприятная, но честная: документ подписали сегодня, завтра сертификат закончился, послезавтра валидность подписи вы уже ничем не подтвердите. Единственный работающий выход — метки времени на подписи в момент подписания. Если вы храните договоры и первичку годами, проверьте прямо сейчас, ставит ли ваша система штамп времени, и запросите у оператора протокол проверки хотя бы по нескольким старым документам.»
Во что обходится подпись без метки времени
Цена ошибки складывается не из стоимости новой подписи. Документ, который перестал проходить проверку, приходится переподписывать действующим сертификатом — а это означает согласование с контрагентом, повторную отправку через оператора и новую дату в системе. Если контрагент ликвидирован, реорганизован или просто отказался, переподписать нечем: остается акт о невозможности переподписания и письмо второй стороне, которые вы прикладываете к комплекту документов как обоснование.
В практике Добыто мы всегда просим показать не сам архив, а протокол проверки подписи по трем случайным документам из него. Протокол сохраняется отдельным файлом и в спорной ситуации работает лучше, чем сама папка с файлами.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Спор почти никогда не идет о криптографии. Он идет о том, кто и когда подписал. Если у вас есть протокол проверки с датой, отпечатком сертификата и данными подписанта, вопрос закрывается на первом заседании. Если протокола нет и сертификат истек, доказывать момент подписания придется другими средствами, и это уже совсем другая история по трудозатратам.»
Как перевыпустить ЭЦП и когда дистанционно уже нельзя
Дистанционный перевыпуск в личном кабинете налогоплательщика работает при трех условиях одновременно: первичный сертификат вы получали лично в УЦ ФНС или у доверенного лица ФНС, текущий сертификат еще действует и не отозван, рабочее место настроено под этот сертификат. Процедура занимает около 15 минут, сертификат УЦ ФНС выдается бесплатно. Как только срок прошел, ни одно из условий не выполняется: новый сертификат получают только при личном визите. Категории заявителей и площадки выдачи описаны в разделе про удостоверяющий центр ФНС России, там же ведомство предупреждает о мошеннических предложениях выпустить подпись руководителя без личного присутствия.
Отдельная развилка — кто именно получает подпись. Сертификат на организацию выдается только руководителю или индивидуальному предпринимателю, в единственном экземпляре и записывается на токен без права копирования. Сотрудник — бухгалтер, кадровик, специалист по закупкам — получает сертификат физического лица в коммерческом аккредитованном удостоверяющем центре, а полномочия подтверждает машиночитаемой доверенностью. Такая схема действует с 1 сентября 2024 года, когда закончилось действие сертификатов сотрудников юридических лиц.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Как перевыпустить ЭЦП и вернуться к работе: пошаговая инструкция
- Шаг 1. Откройте свойства текущего сертификата и зафиксируйте дату окончания, издателя и владельца. От того, действует сертификат или нет, зависит весь дальнейший маршрут.
- Шаг 2. Если сертификат еще действует, подайте заявление на перевыпуск в личном кабинете налогоплательщика с этого же рабочего места. Если срок прошел, записывайтесь на личный прием в УЦ ФНС или к доверенному лицу и берите паспорт, СНИЛС и токен.
- Шаг 3. Подготовьте носитель. Подойдет токен, сертифицированный ФСБ России или ФСТЭК России в зависимости от того, как формируются ключи; из линеек это Рутокен, JaCarta, ESMART Token ГОСТ. Токен под новый сертификат лучше брать чистый: старый ключ на нем не понадобится.
- Шаг 4. Установите на рабочее место драйверы под конкретную модель носителя, КриптоПро CSP версии не ниже 5.0 R2 и КриптоПро ЭЦП Browser Plug-in, затем корневые сертификаты Минцифры России и УЦ ФНС России. Без корневых сертификатов новая подпись будет считаться недоверенной.
- Шаг 5. Установите личный сертификат из контейнера: КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выбор контейнера на токене.
- Шаг 6. Зарегистрируйте новый сертификат там, где вы сдаете отчетность, и получите код абонента в сервисе ФНС, если отправляете отчетность через сайт налоговой.
- Шаг 7. Проверьте новый сертификат на тестовом документе до того, как отправите им первый реальный: подпишите файл, проверьте подпись и сохраните протокол проверки.
Образцы документов для перевыпуска подписи и контроля сроков
Комплект закрывает три задачи: выпуск и аннулирование сертификата, учет сроков и разбор ситуаций, когда подпись под старым документом уже не проходит проверку. Начинать удобнее с реестра сертификатов — он покажет, у кого срок ближе всего.
| Документ | Скачать |
|---|---|
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Письмо контрагенту о переподписании | Скачать |
| Акт о невозможности переподписания | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
Чем варианты получения подписи отличаются по срокам
Выбор способа определяется двумя вещами: чья это подпись и жив ли еще старый сертификат. Ниже — четыре маршрута, которые реально используются бухгалтерией.
| Маршрут | Кому подходит | Обязательное условие | Срок |
|---|---|---|---|
| Дистанционный перевыпуск в личном кабинете налогоплательщика | Руководитель организации, индивидуальный предприниматель | Действующий и неотозванный сертификат УЦ ФНС, ранее полученный лично | около 15 минут |
| Личный визит в УЦ ФНС или к доверенному лицу ФНС | Руководитель организации, индивидуальный предприниматель, нотариус | Личное присутствие, паспорт, СНИЛС, сертифицированный носитель | по регламенту места выдачи |
| Получение сертификата через мобильное приложение Госключ | Руководитель организации, индивидуальный предприниматель | Подтвержденная учетная запись и биометрическая идентификация | по регламенту сервиса |
| Коммерческий аккредитованный удостоверяющий центр | Сотрудник как физическое лицо: бухгалтер, кадровик, закупщик | Комплект документов по регламенту центра, отдельная машиночитаемая доверенность | по регламенту центра |
Из таблицы видно, где именно теряется время: единственный быстрый маршрут закрывается ровно в тот день, когда истекает старый сертификат. Дальше срок определяет не ваша расторопность, а расписание приема.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Не дотягивайте до последней недели. Ближе к массовым датам окончания сертификатов в удостоверяющих центрах выстраиваются очереди, а сотрудникам еще нужно освоить новую схему подписания без нервов. Мы советуем ставить в реестре сертификатов напоминание за месяц до окончания и запускать перевыпуск, пока старый ключ работает.»
Носитель, драйверы и КриптоПро: почему новая подпись не работает
Новый сертификат получен, а система его не видит — типовая ситуация первого дня. Причин обычно три, и все они лежат на рабочем месте.
Первая: не установлены драйверы под конкретную модель носителя. Рутокен, JaCarta и ESMART Token ГОСТ ставятся разными пакетами, универсального драйвера нет. Вторая: не установлены корневые сертификаты Минцифры России и УЦ ФНС России, из-за чего цепочка доверия не выстраивается и подпись помечается как недоверенная. Третья: версия криптопровайдера. Для работы с сертификатом УЦ ФНС нужен КриптоПро CSP версии 5.0 R2 сборки 12000 или выше; в версии 5.0 R3 доработана интеграция режима PKCS#11, из-за которой в R2 возникали проблемы с использованием таких ключей в Windows Logon и RDP.
Отдельно про копирование. По регламенту удостоверяющего центра ФНС ключ записывается без права копирования: контейнер помечается как неэкспортируемый, скопировать его на второй компьютер или на флешку нельзя. Планы вида «сделаем копию для второго бухгалтера» здесь не работают, и это не ограничение программы, а требование регламента.
Память носителя тоже конечная. У Рутокен ЭЦП 3.0 это 128 килобайт защищенной памяти; в формате CSP на токене помещается до 31 контейнера, но объемный контейнер с длинной цепочкой сертификатов может занимать до 12 килобайт. Если вы годами складываете на один токен подписи по всем площадкам, свободное место закончится раньше, чем срок сертификата.
Лайфхак: если лицензия КриптоПро вшита в ваш сертификат, этим ключом можно работать и на машине, где лицензия криптопровайдера истекла — отдельно ставить ее не нужно. Полная лицензия понадобится только для других ключей на том же компьютере.
Важный нюанс из практики: расширение файла подписи не влияет на ее юридическую силу. В настройках Инструментов КриптоПро выбирается p7s, sig или sgn, формат при этом остается CAdES-BES. Файл с расширением sgn подписан, а не зашифрован: открывать его расшифровщиком бесполезно, нужен исходный документ рядом и проверка подписи.
Что делать с МЧД после перевыпуска подписи
Машиночитаемая доверенность и сертификат представителя между собой не связаны технически. В реквизитах сертификата не прописаны реквизиты доверенности, в реквизитах доверенности не указан сертификат: связка идет через персональные данные представителя. Поэтому МЧД, выданная на срок до пяти лет, переживает несколько перевыпусков сертификата — переоформлять ее только из-за истечения подписи не нужно.
Переоформление требуется в других случаях. Любое изменение XML-файла доверенности ломает подпись доверителя, поэтому расширение или уточнение полномочий — это всегда новая МЧД, а не правка старой. При отзыве доверенности верхнего уровня по цепочке отзываются и доверенности, выданные в порядке передоверия.
Полезно знать: нотариальное удостоверение доверенности не требуется в двух случаях — когда доверенность оформляется от юридического лица в адрес юридического лица и когда цепочка идет через руководителя обособленного филиала. Передоверие внутри одной организации, от главного бухгалтера бухгалтеру, заверяется нотариально.
Проверить действующую доверенность можно самостоятельно на сервисе ФНС, но для этого нужны сразу три реквизита: 36-символьный номер доверенности, ИНН доверителя и СНИЛС представителя. Сервис покажет, активна доверенность или ее действие прекращено, и раскроет перечень полномочий.
Внимание: операторы ЭДО не блокируют передачу документа с непрошедшей проверку МЧД — они помечают его статусом и пропускают дальше. Проверка полномочий контрагента остается вашей обязанностью, и на статус доверенности нужно смотреть глазами.
Мария Ж, юрист со стажем более 20 лет: «Частая ошибка — считать, что смена руководителя обнуляет все машиночитаемые доверенности компании. Доверенность выдает юридическое лицо, а не конкретный директор, и от смены единоличного исполнительного органа она не прекращается. А вот сертификат уходящего руководителя нужно аннулировать заявлением в удостоверяющий центр, не дожидаясь окончания его срока.»
Что успеть до истечения: журнал сертификатов и контроль сроков
Перевыпуск занимает 15 минут только у того, кто начал его заранее. Практический минимум подготовки выглядит так.
- Реестр сертификатов. Один файл, где по каждому сотруднику указаны владелец, издатель, дата окончания, носитель и системы, в которых сертификат используется. Без него вы узнаете об истечении от контрагента.
- Напоминание за месяц. Дистанционный маршрут закрывается в день истечения, поэтому запас должен покрывать отпуск, командировку и болезнь владельца ключа.
- Проверка рабочего места. Версия КриптоПро CSP, драйверы носителя, корневые сертификаты, браузерный плагин — все это проверяется до перевыпуска, а не после.
- Резервный подписант. Приказ об ответственном и делегировании права подписи плюс действующая МЧД снимают зависимость процесса от одного человека.
- Штампы времени в архиве. Проверьте, ставит ли ваша система метку времени, и выборочно сохраните протоколы проверки по документам с длительным сроком хранения.
Важный нюанс из практики: реестр сертификатов почти всегда ведет бухгалтерия, а перевыпускать подпись идет руководитель. Мы закладываем в регламент ответственного за реестр отдельно от владельцев ключей: тогда напоминание приходит не тому, кто про него забыл, а тому, кто за него отвечает.
Когда перевыпускать подпись не нужно
Не каждое истечение требует новой УКЭП. Если сотрудник уволен, нужен не перевыпуск, а заявление на аннулирование сертификата и отзыв его МЧД. Если подпись выпускалась под одну площадку, работу с которой компания прекратила, перевыпуск — лишняя строка расходов и лишний токен в сейфе. Если истекла лицензия криптопровайдера, а сертификат действует, вопрос решается лицензией. И если задача сводится к тому, чтобы прочитать и проверить архивные документы, действующий сертификат для этого не нужен вовсе: проверка подписи выполняется по сохраненному протоколу, метке времени и цепочке доверия.
Кадровый контур при этом можно не останавливать. В Добыто ПЭП и УНЭП для сотрудников выпускаются внутри платформы, поэтому приказы, заявления и ознакомления с ЛНА подписываются, пока бухгалтерия ждет новую УКЭП для отчетности.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: интеграции с 1С, электронного архива, требований к уровню сервиса. Электронные подписи для сотрудников входят в тариф.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, персональный менеджер, API | по запросу | по запросу |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по запросу |
| УКЭП через партнеров-удостоверяющих центров | по запросу | по запросу |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | 1 день |
Итоговая сумма считается от численности и выбранного набора функций, а тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду. Условия по каждому тарифу собраны на странице тарифов ДОБЫТО КЭДО.
Выводы
Истекший сертификат блокирует новые подписания, но не отменяет уже подписанное: судьба старых документов зависит от того, есть ли достоверная информация о моменте подписания, то есть штамп времени. Скорость восстановления работы определяется одним фактом — успели вы начать перевыпуск до даты окончания или нет: в первом случае это 15 минут в личном кабинете, во втором личный визит и расписание приема. Отдельно проверьте, что именно закончилось: лицензия криптопровайдера, доверенность и сам сертификат ломаются похожими сообщениями, а лечатся по-разному.
Мы в Добыто ежедневно работаем с обеими сторонами этой задачи: выпускаем подписи для сотрудников внутри платформы и настраиваем кадровый документооборот так, чтобы истечение одного ключа не останавливало оформление приказов и ознакомлений. Реестр сертификатов, регламент ответственных и метки времени в архиве — три вещи, которые снимают большую часть подобных остановок.
Частые вопросы
Можно ли подписать документ задним числом сертификатом, который уже истек?
Нет. Момент подписания фиксируется криптографически, а при наличии штампа времени от службы TSP он подтверждается независимой стороной. Подпись, поставленная после даты окончания сертификата, не пройдет проверку по статье 11 63-ФЗ ни на момент подписания, ни на день проверки. Если документ нужно оформить задним числом по бухгалтерским причинам, дату указывают в теле документа, а подписывают действующим сертификатом.
Что делать, если заблокирован PIN-код токена, а сертификат вот-вот истечет?
PIN пользователя разблокируется PIN-кодом администратора через панель управления носителя. Если исчерпаны попытки и по администраторскому PIN, носитель форматируется, а ключ вместе с сертификатом теряется безвозвратно: неэкспортируемый контейнер восстановить нельзя. В этом случае маршрут один — выпуск нового сертификата, и при истекшем старом это уже личный визит. У носителей линейки Рутокен ЭЦП 3.0 политики PIN-кодов хранятся внутри токена, а не на рабочем месте, поэтому смена компьютера ситуацию не изменит.
Нужно ли переоформлять МЧД, если у представителя закончился сертификат?
Нет. Доверенность и сертификат не связаны реквизитами: в МЧД указываются персональные данные представителя, а не номер его сертификата. За срок действия доверенности, а он может достигать пяти лет, представитель вправе сменить несколько сертификатов. Переоформление нужно при изменении полномочий, при смене представителя и при отзыве доверенности верхнего уровня.
Контрагент прислал файл p7s, а сертификат под ним истек. Документ можно принимать?
Сначала определите тип подписи: p7s, sig и sgn бывают и присоединенными, и открепленными. Для открепленной подписи нужен исходный документ рядом с файлом подписи, иначе проверка не запустится. Дальше смотрите на результат проверки: если в подписи есть штамп времени и он попадает в период действия сертификата, подпись действительна несмотря на истечение. Если штампа времени нет, проверка идет на текущий день и даст отрицательный результат — тогда запрашивайте переподписание.
Нужно ли перевыпускать подпись при смене руководителя организации?
Сертификат выдается конкретному физическому лицу как руководителю, поэтому новому директору нужен собственный сертификат, а сертификат прежнего аннулируется заявлением в удостоверяющий центр. Машиночитаемые доверенности, выданные организацией сотрудникам, при этом не переоформляются: доверителем выступает юридическое лицо независимо от того, кто его представляет.
Сколько подписей помещается на один токен?
У Рутокен ЭЦП 3.0 объем защищенной памяти составляет 128 килобайт. В формате CSP на такой носитель помещается до 31 контейнера, но реальное число зависит от их содержимого: контейнер с длинной цепочкой сертификатов и дополнительными расширениями занимает до 12 килобайт, а минимальный — порядка 200 байт. Если планируете хранить несколько подписей, считайте по фактическому размеру контейнеров, а не по максимуму.
