Электронная подпись на планшете работает не всегда, и дело здесь не в устройстве, а в том, какой у вас вид подписи и где хранится закрытый ключ. ПЭП и УНЭП, которые живут в информационной системе работодателя или в мобильном приложении, планшет закрывает полностью: кадровый документ подписывается из браузера или из Госключа, компьютер не нужен вообще. УКЭП на физическом токене устроена иначе: ключ не покидает память носителя, и для подписания нужна связка из криптопровайдера, программы подписи и совместимого разъёма. Такая связка собирается на Android-планшете и почти не собирается на iPad. Главное различие, которое определяет исход: подпись выпущена в инфраструктуре Госуслуг или записана удостоверяющим центром на токен.
Разберём каждый сценарий: что планшет делает прямо сейчас без установки программ, как подписать кадровый документ через Госключ и что понадобится для работы с токеном на Android. Покажем, чем присоединённая подпись отличается от откреплённой, почему файл с расширением .p7s не открывается двойным нажатием и что делать, если забыт пароль от контейнера. Требования к версиям операционных систем, пошаговая инструкция подписания, сценарная таблица ограничений, образцы кадровых документов и тарифы на 2026 год — во второй половине статьи.
От чего зависит, получится ли подписать документ с планшета
Планшет не подписывает документ сам по себе. Подпись создаёт закрытый ключ, а планшет только даёт ему интерфейс: экран, браузер и канал связи. Поэтому вопрос сводится к тому, доступен ли ключ на этом устройстве. Ключ бывает трёх типов размещения: внутри информационной системы работодателя (ПЭП и корпоративная УНЭП), внутри мобильного приложения или облачного сервиса подписи (УНЭП и УКЭП Госключа, облачные подписи), внутри физического токена (УКЭП от удостоверяющего центра).
Первые два типа переносятся на планшет без потерь. Третий упирается в железо и в то, под какие операционные системы выпущен криптопровайдер.
| Вид подписи | Где хранится ключ | Работа с планшета | Что нужно |
|---|---|---|---|
| ПЭП | В информационной системе работодателя | Да, из браузера | Доступ в личный кабинет и ЛНА, где описан порядок подписания |
| УНЭП, выпущенная в сервисе КЭДО | В системе оператора КЭДО | Да, из браузера | Соглашение с работодателем об использовании УНЭП |
| УНЭП ЕСИА (Госключ) | В мобильном приложении Госключ | Да, Android 7.0 или новее, iOS 13 или новее | Подтверждённая учётная запись на Госуслугах |
| УКЭП Госключа | В мобильном приложении Госключ | Да, если у планшета есть модуль NFC | Загранпаспорт нового образца и удалённая идентификация |
| УКЭП на токене с ГОСТ-криптографией | В защищённой памяти токена | Частично: практика описана для Android и Авроры | КриптоПро CSP, приложение для подписи, разъём Type-C или NFC |
Работнику, который подписывает свои кадровые документы, планшета достаточно почти всегда. Тому, кто подписывает документы от имени организации сертификатом на токене, планшет служит дополнительным рабочим местом, а не основным.
Внимание: ключи, сгенерированные внутри криптоядра токена, называются неизвлекаемыми: закрытый ключ никогда не покидает память устройства и не может быть скопирован ни на планшет, ни на другой компьютер. Перенести такую подпись на мобильное устройство файлом не получится.
Что планшет умеет без установки программ
Даже без криптопровайдера планшет закрывает половину повседневных задач с электронной подписью. Открыть подписанный PDF, прочитать штамп визуализации подписи, скачать архив с документом и файлом подписи, отправить комплект письмом, проверить чужую подпись через веб-сервис — всё это делается в браузере.
Точка, на которой чаще всего спотыкаются, — формат файла подписи. Присоединённая подпись хранится в одном файле вместе с документом. Откреплённая лежит отдельным файлом рядом с документом и получает расширение .p7s, .sig или .sgn: конкретное расширение выбирает тот, кто подписывал, в настройках программы. Файл .p7s не открывается двойным нажатием и не показывает документ: это контейнер подписи, а не документ. Если вам прислали письмо с ЭЦП и в нём лежит только один файл с таким расширением, у вас откреплённая подпись без исходного документа, и проверять её не с чем.
Отсюда правило переписки: при откреплённой подписи в письмо вкладываются оба файла, документ и подпись. Программы для подписи со встроенным почтовым клиентом собирают такой комплект автоматически, но на стороне получателя это ничего не меняет: если файла документа нет, проверка невозможна.
Проверьте файл подписи прямо с планшета
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Проверка через браузер показывает то же, что и десктопный криптопровайдер: чей сертификат, кем выдан, действовал ли он на момент подписания и не отозван ли. Этого достаточно, чтобы принять решение по документу, не дожидаясь возвращения к рабочему компьютеру.
Если вы работодатель и читаете этот раздел с мыслью, что сотрудники присылают документы в непроверяемом виде, порядок обмена задаётся положением о КЭДО и маршрутом согласования: в Добыто КЭДО работник видит кнопку «Подписать» в карточке документа, а подписанный комплект уходит в электронный архив, откуда его можно выгрузить целиком.
Госключ: подпись, для которой компьютер не нужен
Госключ — мобильное приложение, которое формирует и хранит ключ внутри самого устройства. Приложение опубликовано в магазинах для iOS, Android и Huawei, а также на российской платформе приложений, поэтому планшет без сервисов Google тоже подходит. Правовая основа для УНЭП из этой инфраструктуры — Постановление Правительства РФ от 1 декабря 2021 года № 2152, которым утверждены правила создания и использования сертификата ключа проверки усиленной неквалифицированной электронной подписи.
Для кадрового документооборота у Госключа есть отдельное преимущество: по части 2 статьи 22.3 ТК РФ работник вправе применять УНЭП, полученную в инфраструктуре ЕСИА, и отдельное соглашение об использовании УНЭП с работником в этом случае не подписывается. Сертификат выпускается дистанционно, для УНЭП достаточно подтверждённой учётной записи и номера телефона. Для УКЭП понадобится удалённая идентификация: планшет с NFC прикладывается к чипу загранпаспорта нового образца. Порядок получения и перечень сервисов описаны на странице Госключа на портале Госуслуг, там же можно отправить документ самому себе и потренироваться на безопасном примере.
Факт: Госключ бесплатен и для граждан, и для работодателя: организации не нужно разворачивать удостоверяющий центр на своей стороне, а работник не платит за сертификат. По опыту разработчиков систем КЭДО, около 70% клиентов выбирают именно этот способ подписания.
Важный нюанс из практики: подписание кадрового документа через Госключ занимает около минуты, если приложение уже установлено. Если приложения нет, система показывает QR-код со ссылкой на нужный магазин, и первая подпись растягивается на время установки и выпуска сертификата. Поэтому в практике Добыто мы просим сотрудников поставить приложение заранее, до отправки первого пакета документов, а не в момент оформления.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда работник спрашивает, обязательно ли ему садиться за компьютер, я сначала уточняю, какой подписью он подписывает. Для УНЭП из инфраструктуры Госуслуг компьютер не нужен ни на одном шаге: сертификат выпускается дистанционно, а соглашение об использовании УНЭП по части 2 статьи 22.3 ТК РФ с работником подписывать не требуется. Посмотрите в положении о КЭДО, какие виды подписи допустил ваш работодатель: если Госключ там назван, планшета достаточно.»
Полезно знать: Госключ перестал быть только отдельным приложением: подписание доступно и внутри мобильного приложения Госуслуг. Для планшета с небольшим объёмом памяти это снимает необходимость держать второе приложение.
УКЭП на токене: что реально работает на планшете
Токен с ГОСТ-криптографией — ESMART Token ГОСТ, Рутокен ЭЦП 3.0, JaCarta и аналоги — это защищённое пин-кодом хранилище ключа, а не программа подписи. Распространённое заблуждение звучит так: раз криптография встроена в токен, значит КриптоПро CSP не нужен. Если информационная система требует криптопровайдер, его придётся установить на устройство и активировать лицензию. Ознакомительный период КриптоПро CSP 5.0 составляет 90 дней, после чего нужна лицензия; при получении сертификата в удостоверяющем центре ФНС лицензия вшивается внутрь сертификата и действует столько же, сколько сам сертификат.
На Android-планшете связка собирается. Криптопровайдер выпускается для Android, iOS и Авроры, приложения для подписи под мобильные платформы существуют, а из носителей в документации прямо названы модели с разъёмом Type-C и Рутокен ЭЦП 3.0 NFC: смарт-карта прикладывается к планшету, и подпись формируется на борту токена. Для двухфакторной аутентификации на Авроре поддержаны устройства семейства Рутокен ЭЦП 2.0 и 3.0. Для iPad подобной практики в документации производителя носителей нет, и закладывать её в рабочий процесс не стоит.
Второй рабочий вариант не требует токена вовсе: облачная подпись. Документ выбирается на компьютере или в мобильном приложении, уходит на сервер подписи, оттуда пользователю возвращается краткая выжимка для ознакомления, он подтверждает действие, а готовая подпись передаётся обратно в бизнес-систему. Ключ живёт на сервере, а планшет выполняет роль средства подтверждения.
Мария Ж, юрист со стажем более 20 лет: «Разница между извлекаемым и неизвлекаемым ключом важна не только специалистам по безопасности. Извлекаемый ключ на короткое время попадает в оперативную память устройства, и его можно скопировать, если это разрешено флагом экспорта. Ключ, сгенерированный внутри криптоядра токена, не копируется никуда и работает только вместе с носителем. Прежде чем планировать работу с планшета, уточните в удостоверяющем центре, какой формат ключа вам выдали: от этого зависит, нужен ли физический токен под рукой.»
Как подписать документ электронной подписью с планшета: пошаговая инструкция
- Шаг 1. Определите вид подписи и место хранения ключа. ПЭП и УНЭП работодателя, УНЭП и УКЭП Госключа не требуют ни токена, ни криптопровайдера.
- Шаг 2. Проверьте требования к устройству. Для Госключа это Android 7.0 или новее либо iOS 13 или новее и подтверждённая учётная запись на Госуслугах; для УКЭП дополнительно нужен модуль NFC и загранпаспорт нового образца.
- Шаг 3. Если подпись записана на токен, установите на планшет криптопровайдер и приложение для подписи, затем активируйте лицензию. Без лицензии работа прекратится по окончании ознакомительного периода.
- Шаг 4. Подключите носитель. Токен с разъёмом Type-C вставляется напрямую, модель с NFC прикладывается к корпусу планшета, USB-носитель подключается через переходник.
- Шаг 5. Загрузите документ и выберите тип подписи. Присоединённая удобна для хранения одним файлом, откреплённая нужна там, где документ должен остаться неизменным и подписывается несколькими сторонами.
- Шаг 6. Подпишите документ и сохраните результат целиком. При откреплённой подписи сохраняйте оба файла: документ и файл подписи с расширением .p7s, .sig или .sgn.
- Шаг 7. Проверьте подпись сразу после подписания: сертификат должен быть действителен, а данные владельца совпадать с вашими.
Лайфхак: ведите реестр выданных сертификатов и следите по нему за сроками. Это тот же принцип, что и контрольный виджет в системах КЭДО: он показывает, у кого подписи нет и у кого она заканчивается, а значит, кадровый документ не зависнет в маршруте из-за просроченного сертификата.
Когда планшет не заменит компьютер
Есть задачи, где мобильное устройство остаётся вспомогательным. Работа с машиночитаемой доверенностью — первая из них. МЧД оформляется в виде XML-файла, подписывается УКЭП руководителя и передаётся вместе с подписью сотрудника, а программы, которые умеют создавать доверенность с выбором полномочий, проверять её статус и собирать единый архив из подписанных данных и файла МЧД, выпускаются под Windows, Linux и macOS. Мобильных версий у этого класса приложений нет.
Для сотрудника филиала это означает следующее: подписать документ от имени организации он может своей УКЭП физического лица только вместе с действующей МЧД, где перечислены его полномочия и срок действия. Данные МЧД проверяет принимающая сторона, и расхождение в полномочиях даёт отказ так же уверенно, как ошибка в самой подписи. Проверять статус доверенности перед отправкой документа удобнее с рабочего места, где стоит нужная программа.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Работник подписывает заявление на отпуск или знакомится с ЛНА | Вид подписи, разрешённый положением о КЭДО | Модель планшета и операционная система |
| Дистанционный приём на работу без визита в офис | Наличие у работника УКЭП или УНЭП: для трудового договора ПЭП не подходит | Физический токен у работника |
| Сотрудник филиала подписывает документы за организацию | Действующая МЧД с нужными полномочиями и УКЭП физического лица | Мобильность рабочего места |
| Проверка подписи на присланном документе | Наличие обоих файлов: документа и файла подписи | Установленный на устройстве криптопровайдер |
| Работа в отраслевых государственных системах с токена | Формат ключа и совместимость носителя с требованиями системы | Удобство интерфейса |
Закономерность видна по строкам: чем ближе задача к личным кадровым документам работника, тем меньше значения имеет устройство. Чем ближе к представительству организации перед третьими лицами, тем жёстче требования к носителю ключа и программному окружению.
Когда переход на подписание с планшета не нужен
Если вы подписываете один документ в квартал и работаете за стационарным компьютером, настройка мобильного окружения не окупится: установка криптопровайдера, покупка совместимого носителя и обучение занимают больше времени, чем экономят. Если в компании ещё не принято положение о КЭДО и не собраны согласия работников, вопрос об устройстве преждевременен: сначала оформляется порядок ведения электронного документооборота, и только потом обсуждается, с какого экрана его будут подписывать. Отдельный случай — работа в закрытом контуре, где мобильные устройства не допускаются политикой информационной безопасности: там планшет не появится независимо от технической возможности.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Отдельный интерфейс тормозит подписание сильнее любых технических требований. Работник заходит в личный кабинет, формирует заявление, а потом должен уйти в другое приложение и вернуться обратно. На этом шаге часть людей останавливается. Мы закладываем пилотную группу перед раскаткой на всю компанию именно для того, чтобы увидеть, где сотрудники теряются, и заранее переписать инструкцию.»
Если забыли пароль от подписи или потеряли доступ
Пароль к контейнеру закрытого ключа не восстанавливается. Криптопровайдер не хранит его в открытом виде и не имеет механизма сброса: если пароль забыт, сертификат перевыпускается заново. Порядок действий одинаков и на компьютере, и на планшете: подаётся заявление на аннулирование действующего сертификата, затем заявление на выпуск нового, а при получении через представителя оформляется доверенность.
Цена такой ошибки измеряется не стоимостью нового сертификата, а простоем. Пока подпись перевыпускается, документы, которые ждут вашей подписи, стоят в маршруте: заявление на отпуск не уходит в расчёт, кадровый приказ не закрывается, а срок ознакомления с локальным нормативным актом продолжает идти. При штатном сценарии подписание занимает около минуты, при перевыпуске сертификата счёт идёт на дни.
Что об этом думает ГИТ: при проверке инспектор смотрит не на устройство, с которого подписан документ, а на то, чем он подписан и подтверждается ли это выгрузкой из системы. Реестр выданных сертификатов и сведения о подписании закрывают вопрос быстрее, чем объяснения о технических сбоях. В практике Добыто мы отдаём такую выгрузку из электронного архива вместе с самими документами.
Образцы документов по электронной подписи и КЭДО
Комплект закрывает выпуск, учёт и замену подписи: начните с реестра сертификатов, если ведёте учёт подписей на несколько десятков человек.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
| Заявление о согласии на переход на КЭДО | Скачать |
Стоимость КЭДО и подписей для работы с планшета
Стоимость зависит от численности сотрудников, набора видов подписи и того, нужна ли интеграция с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф | на всех тарифах |
| УКЭП для сотрудника | через партнёров-удостоверяющих центров | по регламенту УЦ |
| Готовый модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного набора функций: интеграция с 1С, кастомные шаблоны и электронный архив входят в тариф «Бизнес», выделенный сервер и SLA считаются отдельно. Состав пакетов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Отдельная статья расходов, которую часто забывают, — подписи для тех, кто подписывает от имени организации. ПЭП и УНЭП для сотрудников выпускаются бесплатно на всех тарифах, а УКЭП оформляется через удостоверяющий центр и оплачивается по его правилам.
Выводы
Планшет заменяет компьютер ровно настолько, насколько мобильна ваша подпись. Подписи, которые живут в информационной системе работодателя и в приложении Госключ, не требуют ни криптопровайдера, ни носителя, и с ними планшет становится полноценным рабочим местом для кадровых документов. Подпись на токене привязана к железу и программному окружению: на Android она собирается, для iPad описанной практики нет. Чтение штампа, проверка чужой подписи и работа с файлами .p7s доступны с любого устройства через браузер, а машиночитаемая доверенность пока остаётся десктопной задачей.
Мы в Добыто ежедневно разбираем такие связки на внедрениях: подбираем вид подписи под реальный парк устройств сотрудников, фиксируем допустимые способы подписания в положении о КЭДО и настраиваем маршруты так, чтобы работник подписывал документ там, где ему удобно, а кадровая служба получала подтверждаемый комплект для проверки.
Частые вопросы
Можно ли подписать документ с планшета, если работодатель не подключил КЭДО
Да, но по другой схеме. Вы подписываете файл своей подписью и передаёте его второй стороне вместе с файлом подписи, а юридическая сила определяется видом подписи и соглашением сторон по 63-ФЗ. Для кадровых документов такой обмен неудобен: без положения о ведении КЭДО и согласия работника электронный кадровый документооборот внутри компании не выстраивается, а отдельные документы по ТК РФ в электронный вид не переводятся вовсе.
Подойдёт ли планшет без сервисов Google
Подойдёт. Приложение Госключ опубликовано в четырёх магазинах приложений: для iOS, Android, Huawei и на российской платформе. Ограничение здесь не в магазине, а в версии операционной системы: нужен Android 7.0 или новее либо iOS 13 или новее, а для выпуска УКЭП по загранпаспорту дополнительно модуль NFC.
Можно ли перенести подпись с компьютера на планшет копированием
Зависит от формата ключа. Извлекаемый ключ копируется, только если при генерации ему поставили флаг экспортируемости; в удостоверяющем центре ФНС по регламенту выдаётся неэкспортируемый контейнер, и скопировать его нельзя. Неизвлекаемый ключ, сгенерированный внутри криптоядра токена, не покидает устройство ни при каких условиях: с ним планшет работает только при подключённом или приложенном токене.
Сколько сертификатов помещается на одном токене
Актуальные модели с ГОСТ-криптографией имеют 128 КБ защищённой памяти. При программных ключах в формате криптопровайдера на носитель помещается до 31 контейнера. Точное число зависит от того, что удостоверяющий центр записал в сертификат: объёмный контейнер с дополнительными расширениями и цепочкой сертификатов занимает до 12 КБ, компактный — в разы меньше.
Что делать, если планшет с подписью потерян
Действовать так же, как при утере токена: подать заявление на аннулирование сертификата и заявление на выпуск нового. Сертификат в мобильном приложении привязан к устройству и учётной записи, поэтому доступ к нему без вашей аутентификации не восстанавливается, но аннулирование снимает риск полностью и фиксирует момент, с которого подпись недействительна.
Действительна ли подпись, если срок сертификата уже закончился
Подпись оценивается на момент подписания, а не на момент проверки. Подтверждает этот момент метка доверенного времени: при её наличии проверка показывает, что сертификат действовал при подписании. Если метки нет, а сертификат истёк или отозван, программа проверки выдаёт статус недействительности, и момент подписания придётся доказывать другими средствами. Поэтому в спорных документах метку времени лучше запрашивать сразу при подписании.
