Можно ли использовать электронную подпись на планшете вместо компьютера

Электронная подпись на планшете работает не всегда, и дело здесь не в устройстве, а в том, какой у вас вид подписи и где хранится закрытый ключ. ПЭП и УНЭП, которые живут в информационной системе работодателя или в мобильном приложении, планшет закрывает полностью: кадровый документ подписывается из браузера или из Госключа, компьютер не нужен вообще. УКЭП на физическом токене устроена иначе: ключ не покидает память носителя, и для подписания нужна связка из криптопровайдера, программы подписи и совместимого разъёма. Такая связка собирается на Android-планшете и почти не собирается на iPad. Главное различие, которое определяет исход: подпись выпущена в инфраструктуре Госуслуг или записана удостоверяющим центром на токен.

Речь здесь о планшетных компьютерах; планшеты для рукописной подписи — другое устройство и другая задача. Разберём порядок подключения токена к Android-планшету по шагам, требования к железу и способ проверить своё устройство, работу носителей с NFC и то, что происходит при попытке подписать в СБИС, Диадоке и веб-версиях учётных систем. Сценарная таблица ограничений, порядок действий при утере пароля от контейнера и ответы на частые вопросы — во второй половине страницы.

От чего зависит, получится ли подписать документ с планшета

Планшет не подписывает документ сам по себе. Подпись создаёт закрытый ключ, а планшет только даёт ему интерфейс: экран, браузер и канал связи. Поэтому вопрос сводится к тому, доступен ли ключ на этом устройстве. Ключ бывает трёх типов размещения: внутри информационной системы работодателя (ПЭП и корпоративная УНЭП), внутри мобильного приложения или облачного сервиса подписи (УНЭП и УКЭП Госключа, облачные подписи), внутри физического токена (УКЭП от удостоверяющего центра).

Первые два типа переносятся на планшет без потерь. Третий упирается в железо и в то, под какие операционные системы выпущен криптопровайдер.

Работнику, который подписывает свои кадровые документы, планшета достаточно почти всегда. Тому, кто подписывает документы от имени организации сертификатом на токене, планшет служит дополнительным рабочим местом, а не основным.

Что нужно от самого планшета

Требования к железу касаются только четвёртого и пятого сценария из таблицы выше. Для ПЭП и УНЭП из браузера подойдёт любое устройство с доступом в интернет.

Отдельный случай — планшеты Huawei и другие устройства без сервисов Google. Госключ там ставится из магазина производителя, и подписание работает штатно. Ломается другое: приложения, которые распространяются только через Google Play, включая часть мобильных клиентов учётных систем. Перед покупкой такого планшета под рабочие задачи проверьте, есть ли нужное вам приложение в магазине производителя.

Как подписать документ с планшета: пошагово по платформам

Порядок различается принципиально, поэтому разбираем платформы по отдельности. Общий нулевой шаг один: выяснить вид подписи и место хранения ключа по таблице выше. Если это ПЭП, УНЭП работодателя или Госключ, ни один из шагов ниже не нужен — документ подписывается из браузера или из приложения.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Android: подключение токена и подписание

1. Шаг 1. Проверьте поддержку USB-host: подключите к планшету обычную флешку через OTG-переходник. Если она открылась в файловом менеджере, токен тоже определится. Если нет, остаются варианты с NFC-носителем или Госключом.
2. Шаг 2. Установите криптопровайдер для Android и приложение для подписи. Ознакомительный период КриптоПро CSP 5.0 составляет 90 дней, после чего нужна лицензия; при получении сертификата в удостоверяющем центре ФНС лицензия вшивается внутрь сертификата.
3. Шаг 3. Подключите носитель. Токен в исполнении Type-C вставляется напрямую, USB-токен — через OTG-переходник, модель с NFC прикладывается к корпусу планшета.
4. Шаг 4. Откройте приложение подписи и дождитесь, когда носитель появится в списке считывателей. Введите PIN-код токена: на этом шаге чаще всего выясняется, что заводской код был изменён при выдаче.
5. Шаг 5. Выберите файл и тип подписи. Присоединённая удобна для хранения одним файлом, откреплённая нужна там, где документ должен остаться неизменным и подписывается несколькими сторонами.
6. Шаг 6. Подпишите документ и сохраните результат целиком. При откреплённой подписи сохраняются оба файла: документ и файл подписи с расширением .p7s, .sig или .sgn.
7. Шаг 7. Проверьте подпись сразу после подписания: сертификат должен быть действителен, а данные владельца совпадать с вашими.

iPad: что доступно, а что нет

Работает: подписание ПЭП и УНЭП работодателя через браузер, подписание через Госключ, включая УКЭП при наличии NFC, проверка чужой подписи через веб-сервисы, чтение подписанных PDF со штампом визуализации. Этого достаточно для всех личных кадровых документов работника.

Не работает: подключение USB-токена и работа с УКЭП на аппаратном носителе. Описанной производителями носителей практики для iPadOS нет, и обходных путей вроде переходников Lightning или Type-C она не появляется: дело не в разъёме, а в отсутствии приложений криптопровайдера под эту платформу. Если ваша задача требует токена, для неё нужен Android-планшет или компьютер.

Носители с NFC: токен, который не нужно подключать

Рутокен ЭЦП 3.0 NFC и аналогичные модели решают главную проблему планшетного сценария: разъём и переходник не нужны вовсе. Носитель выполнен в виде смарт-карты или брелока, прикладывается к корпусу планшета в зоне антенны NFC, и подпись формируется на борту самого носителя, как при проводном подключении. Закрытый ключ при этом не покидает устройство: по каналу NFC передаются данные для подписания и готовая подпись, а не ключ.

Чем это отличается от подключения через OTG. Переходник занимает единственный порт планшета и требует, чтобы устройство поддерживало режим USB-host, которого на части бюджетных моделей нет. NFC-носитель не зависит ни от порта, ни от режима: достаточно модуля NFC, который есть на большинстве современных планшетов среднего сегмента. Взамен появляется требование к самому носителю: обычный USB-токен по NFC работать не будет, нужна модель с соответствующим исполнением.

Ограничения тоже есть. Носитель нужно держать у корпуса всё время операции: если убрать его раньше, чем подпись сформируется, процедуру придётся повторить. Приложение подписи должно поддерживать работу по NFC, и список таких приложений короче, чем список работающих с USB. Зона антенны на планшете больше, чем на смартфоне, и её расположение не всегда очевидно, поэтому первое прикладывание обычно требует нескольких попыток.

Для двухфакторной аутентификации на Авроре поддержаны устройства семейства Рутокен ЭЦП 2.0 и 3.0. Перед покупкой носителя под конкретную задачу сверьте по документации производителя, поддерживается ли ваша связка платформы и приложения.

Мария Ж, юрист со стажем более 20 лет: «Разница между извлекаемым и неизвлекаемым ключом важна не только специалистам по безопасности. Извлекаемый ключ на короткое время попадает в оперативную память устройства, и его можно скопировать, если это разрешено флагом экспорта. Ключ, сгенерированный внутри криптоядра токена, не копируется никуда и работает только вместе с носителем. Прежде чем планировать работу с планшета, уточните в удостоверяющем центре, какой формат ключа вам выдали: от этого зависит, нужен ли физический токен под рукой.»

Что планшет умеет без установки программ

Даже без криптопровайдера планшет закрывает половину повседневных задач с электронной подписью. Открыть подписанный PDF, прочитать штамп визуализации подписи, скачать архив с документом и файлом подписи, отправить комплект письмом, проверить чужую подпись через веб-сервис — всё это делается в браузере.

Точка, на которой чаще всего спотыкаются, — формат файла подписи. Присоединённая подпись хранится в одном файле вместе с документом. Откреплённая лежит отдельным файлом рядом с документом и получает расширение .p7s, .sig или .sgn. Файл .p7s не открывается двойным нажатием и не показывает документ: это контейнер подписи, а не документ. Если вам прислали письмо и в нём лежит только один файл с таким расширением, у вас откреплённая подпись без исходного документа, и проверять её не с чем.

Отсюда правило переписки: при откреплённой подписи в письмо вкладываются оба файла, документ и подпись. Программы для подписи со встроенным почтовым клиентом собирают такой комплект автоматически, но на стороне получателя это ничего не меняет: если файла документа нет, проверка невозможна.

Проверьте файл подписи прямо с планшета

Добыто · Проверка подписи

Что за файл пришёл с документом

Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.

Файл остаётся на вашем устройстве — мы его не получаем и не храним

Перетащите файл сюда или выберите на устройстве

.sig · .sgn · .p7s · .p7m · .pdf · .xml · .docx · .zip и другие. Ничего никуда не отправляется: файл читается кодом страницы прямо в вашем браузере.

Пожалуйста, подпишитесь на нас в мессенджерах

Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.

Канал в MAX Канал в Telegram

Нет файла под рукой? Выберите расширение вручную:

.sig .sgn .p7s .pdf .xml .docx .zip

Проверить подпись онлайн в Добыто

Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.

Инструмент работает в браузере планшета без установки программ и показывает то же, что и десктопный криптопровайдер: чей сертификат, кем выдан, действовал ли он на момент подписания и не отозван ли. Этого достаточно, чтобы принять решение по документу, не дожидаясь возвращения к рабочему компьютеру.

Если вы работодатель и читаете этот раздел с мыслью, что сотрудники присылают документы в непроверяемом виде, порядок обмена задаётся положением о КЭДО и маршрутом согласования: в Добыто КЭДО работник видит кнопку «Подписать» в карточке документа, а подписанный комплект уходит в электронный архив, откуда его можно выгрузить целиком.

Госключ: подпись, для которой компьютер не нужен

Госключ — мобильное приложение, которое формирует и хранит ключ внутри самого устройства. Приложение опубликовано в магазинах для iOS, Android и Huawei, а также на российской платформе приложений, поэтому планшет без сервисов Google тоже подходит. Правовая основа для УНЭП из этой инфраструктуры — Постановление Правительства РФ от 1 декабря 2021 года № 2152, которым утверждены правила создания и использования сертификата ключа проверки усиленной неквалифицированной электронной подписи.

Для кадрового документооборота у Госключа есть отдельное преимущество: по части 2 статьи 22.3 ТК РФ работник вправе применять УНЭП, полученную в инфраструктуре ЕСИА, и отдельное соглашение об использовании УНЭП с работником в этом случае не подписывается. Сертификат выпускается дистанционно, для УНЭП достаточно подтверждённой учётной записи и номера телефона. Для УКЭП понадобится удалённая идентификация: планшет с NFC прикладывается к чипу загранпаспорта нового образца. Порядок получения и перечень сервисов описаны на странице Госключа на портале Госуслуг, там же можно отправить документ самому себе и потренироваться на безопасном примере.

Важный нюанс из практики: подписание кадрового документа через Госключ занимает около минуты, если приложение уже установлено. Если приложения нет, система показывает QR-код со ссылкой на нужный магазин, и первая подпись растягивается на время установки и выпуска сертификата. Поэтому в практике Добыто мы просим сотрудников поставить приложение заранее, до отправки первого пакета документов, а не в момент оформления.

Мария Ж, специалист по цифровой подписи и КЭДО: «Когда работник спрашивает, обязательно ли ему садиться за компьютер, я сначала уточняю, какой подписью он подписывает. Для УНЭП из инфраструктуры Госуслуг компьютер не нужен ни на одном шаге: сертификат выпускается дистанционно, а соглашение об использовании УНЭП по части 2 статьи 22.3 ТК РФ с работником подписывать не требуется. Посмотрите в положении о КЭДО, какие виды подписи допустил ваш работодатель: если Госключ там назван, планшета достаточно.»

Когда планшет не заменит компьютер

Есть задачи, где мобильное устройство остаётся вспомогательным. Работа с машиночитаемой доверенностью — первая из них. МЧД оформляется в виде XML-файла, подписывается УКЭП руководителя и передаётся вместе с подписью сотрудника, а программы, которые умеют создавать доверенность с выбором полномочий, проверять её статус и собирать единый архив, выпускаются под Windows, Linux и macOS. Мобильных версий у этого класса приложений нет.

Для сотрудника филиала это означает следующее: подписать документ от имени организации он может своей УКЭП физического лица только вместе с действующей МЧД, где перечислены его полномочия и срок действия. Данные МЧД проверяет принимающая сторона, и расхождение в полномочиях даёт отказ так же уверенно, как ошибка в самой подписи. Проверять статус доверенности перед отправкой документа удобнее с рабочего места, где стоит нужная программа.

Сторонние системы: СБИС, Диадок, веб-версии учётных систем

Подписание в веб-интерфейсе оператора ЭДО или учётной системы упирается не в токен, а в браузерное расширение криптопровайдера. Расширение ставится только в десктопный браузер: мобильные версии Chrome и Safari дополнения такого рода не поддерживают в принципе, поэтому кнопка «Подписать» на странице либо не находит криптопровайдер, либо не появляется вовсе.

Рабочий обходной путь один: мобильное приложение самого оператора, если оно существует и умеет подписывать. Тогда подписание идёт не через браузер, а внутри приложения, и расширение не требуется. Уточнять это нужно у конкретного оператора: наличие мобильного клиента ещё не означает, что в нём есть подписание, часть таких приложений работает только на просмотр.

Закономерность видна по строкам: чем ближе задача к личным кадровым документам работника, тем меньше значения имеет устройство. Чем ближе к представительству организации перед третьими лицами, тем жёстче требования к носителю ключа и программному окружению. Отдельно стоит случай, когда настройка просто не окупается: при одном документе в квартал и стационарном рабочем месте установка криптопровайдера и покупка совместимого носителя займут больше времени, чем сэкономят.

Мария Ж, соучредитель сервиса КЭДО Добыто: «Отдельный интерфейс тормозит подписание сильнее любых технических требований. Работник заходит в личный кабинет, формирует заявление, а потом должен уйти в другое приложение и вернуться обратно. На этом шаге часть людей останавливается. Мы закладываем пилотную группу перед раскаткой на всю компанию именно для того, чтобы увидеть, где сотрудники теряются, и заранее переписать инструкцию.»

Если забыли пароль от подписи или потеряли доступ

Пароль к контейнеру закрытого ключа не восстанавливается. Криптопровайдер не хранит его в открытом виде и не имеет механизма сброса: если пароль забыт, сертификат перевыпускается заново. Порядок действий одинаков и на компьютере, и на планшете: подаётся заявление на аннулирование действующего сертификата, затем заявление на выпуск нового, а при получении через представителя оформляется доверенность.

Цена такой ошибки измеряется не стоимостью нового сертификата, а простоем. Пока подпись перевыпускается, документы, которые ждут вашей подписи, стоят в маршруте: заявление на отпуск не уходит в расчёт, кадровый приказ не закрывается, а срок ознакомления с локальным нормативным актом продолжает идти. При штатном сценарии подписание занимает около минуты, при перевыпуске сертификата счёт идёт на дни.

Что об этом думает ГИТ: при проверке инспектор смотрит не на устройство, с которого подписан документ, а на то, чем он подписан и подтверждается ли это выгрузкой из системы. Реестр выданных сертификатов и сведения о подписании закрывают вопрос быстрее, чем объяснения о технических сбоях.

Образцы документов для замены подписи и перехода на КЭДО

Два бланка под сценарии из этого раздела: первый нужен при утере доступа к ключу, второй — работнику, который переходит на электронное подписание.

Стоимость КЭДО и подписей для работы с планшета

Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой.

Итоговая сумма складывается из численности и выбранного набора функций: интеграция с 1С, кастомные шаблоны и электронный архив входят в тариф «Бизнес», выделенный сервер и SLA считаются отдельно. ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а УКЭП оформляется через удостоверяющий центр и оплачивается по его правилам. Состав пакетов и условия перехода между ними опубликованы на странице тарифов Добыто КЭДО.

Перейти между тарифами можно в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.

Выводы

Планшет заменяет компьютер ровно настолько, насколько мобильна ваша подпись. ПЭП, УНЭП работодателя и обе подписи Госключа не требуют ни криптопровайдера, ни носителя: с ними планшет становится полноценным рабочим местом для кадровых документов. УКЭП на токене привязана к железу: на Android она собирается через OTG-переходник, разъём Type-C или носитель с NFC, для iPad описанной практики нет. Подписание в веб-интерфейсах операторов ЭДО упирается в браузерное расширение, которое ставится только в десктопный браузер, и обходится мобильным приложением оператора, если оно есть.

Мы в Добыто ежедневно разбираем такие связки на внедрениях: подбираем вид подписи под реальный парк устройств сотрудников, фиксируем допустимые способы подписания в положении о КЭДО и настраиваем маршруты так, чтобы работник подписывал документ там, где ему удобно, а кадровая служба получала подтверждаемый комплект для проверки.

Частые вопросы

Можно ли подписать документ с планшета, если работодатель не подключил КЭДО

Да, но по другой схеме. Вы подписываете файл своей подписью и передаёте его второй стороне вместе с файлом подписи, а юридическая сила определяется видом подписи и соглашением сторон по 63-ФЗ. Для кадровых документов такой обмен неудобен: без положения о ведении КЭДО и согласия работника электронный кадровый документооборот внутри компании не выстраивается, а отдельные документы по ТК РФ в электронный вид не переводятся вовсе.

Как понять, поддерживает ли планшет подключение токена

Проверьте режим USB-host самым простым способом: подключите через OTG-переходник обычную флешку. Если она открылась в файловом менеджере, токен тоже определится; если планшет её не увидел, режим не поддерживается, и переходник другой марки положение не изменит. Отдельно посмотрите в настройках, есть ли пункт NFC: при его наличии остаётся вариант с носителем, который прикладывается к корпусу, даже если USB-host недоступен.

Можно ли перенести подпись с компьютера на планшет копированием

Зависит от формата ключа. Извлекаемый ключ копируется, только если при генерации ему поставили флаг экспортируемости; в удостоверяющем центре ФНС по регламенту выдаётся неэкспортируемый контейнер, и скопировать его нельзя. Неизвлекаемый ключ, сгенерированный внутри криптоядра токена, не покидает устройство ни при каких условиях: с ним планшет работает только при подключённом или приложенном токене.

Почему в веб-версии учётной системы кнопка подписания не работает с планшета

Потому что подписание в браузере выполняет не сайт, а расширение криптопровайдера, а мобильные браузеры расширений такого рода не поддерживают. Установить его на планшет нельзя ни на Android, ни на iPadOS. Единственный обходной путь — мобильное приложение самого оператора, если в нём есть функция подписания: часть таких приложений работает только на просмотр документов.

Что делать, если планшет с подписью потерян

Действовать так же, как при утере токена: подать заявление на аннулирование сертификата и заявление на выпуск нового. Сертификат в мобильном приложении привязан к устройству и учётной записи, поэтому доступ к нему без вашей аутентификации не восстанавливается, но аннулирование снимает риск полностью и фиксирует момент, с которого подпись недействительна.

Действительна ли подпись, если срок сертификата уже закончился

Подпись оценивается на момент подписания, а не на момент проверки. Подтверждает этот момент метка доверенного времени: при её наличии проверка показывает, что сертификат действовал при подписании. Если метки нет, а сертификат истёк или отозван, программа проверки выдаёт статус недействительности, и момент подписания придётся доказывать другими средствами. Поэтому в спорных документах метку времени лучше запрашивать сразу при подписании.

Читайте также по теме:

• Электронный больничный на Госуслугах: статусы и сроки выплат
• Должностные инструкции в электронном виде: перевод в КЭДО
• Электронная доверенность для Почты России как компании получать посылки без бумаг