Электронная подпись подбирается под систему, в которой вы работаете, а не по названию в прайсе удостоверяющего центра. По 63-ФЗ видов три: простая (ПЭП), усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Индивидуальному предпринимателю для отчётности в ФНС, торгов, ЕГАИС и работы с госсистемами нужна УКЭП: её выдаёт удостоверяющий центр ФНС бесплатно на самого предпринимателя, ключ выпускается неэкспортируемым и записывается на защищённый носитель. УНЭП в приложении Госключ выпускается за несколько минут при подтверждённой учётной записи на Госуслугах и закрывает кадровые документы и часть договорных сценариев. Главное различие: там, где документ уходит в государственную систему, подойдёт только квалифицированная подпись на сертифицированном носителе, а для внутренних документов и обмена с контрагентом по соглашению сторон хватает ПЭП или УНЭП.
Дальше разберём каждый вид подписи по задачам предпринимателя, покажем, чем Рутокен Лайт отличается от Рутокен ЭЦП 3.0 и почему для ЕГАИС годится только формат PKCS#11, какой стек программ ставить на рабочее место и чем расширение p7s отличается от sig. Стоимость подключения, порядок действий при заблокированном PIN-коде и утрате токена, учёт выданных подписей и ответы на частые вопросы — во второй половине статьи.
Три вида подписи по 63-ФЗ: что реально отличается
Механика подписания у УНЭП и УКЭП одинаковая, различие лежит в юридической плоскости и в том, кто выпустил сертификат. УНЭП может выпустить сама организация или коммерческий сервис, и тогда сторонам нужно письменное соглашение о признании такой подписи. УКЭП выпускает только удостоверяющий центр, аккредитованный Минцифры и прошедший проверку ФСБ, и она признаётся аналогом собственноручной подписи без дополнительных соглашений. Отдельно стоит УНЭП, выданная с использованием инфраструктуры электронного правительства: её формирует Госключ по правилам постановления Правительства от 01.12.2021 № 2152, и соглашение о признании для неё не требуется.
ПЭП знакома каждому: код из SMS, логин и пароль в учётной системе, авторизация на портале. Она показывает, кто совершил действие, но не подтверждает, что документ после подписания не менялся, и не фиксирует момент подписания.
Мария Ж, юрист со стажем более 20 лет: «Простая подпись дешева и удобна, поэтому её чаще всего и берут. Проблема всплывает в споре: по ПЭП можно установить, кто вошёл в систему, но нельзя доказать, что подписанный файл остался неизменным и что подписание произошло именно тогда. Как только документ может стать предметом спора, переходите на усиленную подпись.»
| Параметр | ПЭП | УНЭП | УКЭП |
|---|---|---|---|
| Кто выпускает | информационная система, где вы работаете | компания, сервис или Госключ | аккредитованный УЦ, для ИП — УЦ ФНС |
| Подтверждает неизменность документа | нет | да | да |
| Нужно соглашение сторон | да | да, кроме УНЭП из Госключа | нет |
| Отчётность в ФНС, ЕГАИС, закупки | не подходит | не подходит | подходит |
| Стоимость для ИП | бесплатно | в Госключе бесплатно | в УЦ ФНС бесплатно, носитель покупается отдельно |
Из таблицы следует простое правило отбора: если задача упирается в государственную систему, вариантов нет, нужна УКЭП. Во всех остальных случаях выбор идёт между удобством и объёмом доказательств, которые вы хотите иметь на руках в случае спора.
Какая подпись закрывает вашу задачу: разбор по системам
Предприниматель редко выбирает подпись абстрактно. Обычно есть конкретная система, которая либо принимает файл, либо отклоняет его. Ниже сценарии, с которыми ИП сталкивается чаще всего.
| Задача | Что критично | Что вторично |
|---|---|---|
| Декларации и отчётность через сайт ФНС | УКЭП на ИП, КриптоПро CSP, код абонента, программа «Налогоплательщик ЮЛ» | модель токена, если он сертифицирован |
| ЕГАИС: производство и поставки алкоголя | ключ формата PKCS#11 на носителе с криптоядром | способ хранения второй подписи |
| Электронные торги и площадки | УКЭП, браузерный плагин, актуальные корневые сертификаты | формат файла подписи, его задаёт площадка |
| Кадровые документы с работниками | вид подписи, закреплённый в ЛНА, и согласие работника | наличие токена у работника |
| Договор и письмо контрагенту | совпадение вида подписи у обеих сторон и соглашение, если подпись неквалифицированная | визуальный штамп на PDF |
| Подача документов в суд | УКЭП и расширение файла, которое принимает конкретная система | программа, в которой создана подпись |
Вторичное в этой таблице не означает «неважное»: оно означает, что при отказе системы искать причину нужно в левом столбце. Штамп на PDF юридической силы не несёт, это визуализация для человека, а проверяется всегда файл подписи.
Проверьте, какая подпись стоит на вашем документе
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Проверка файла подписи отвечает на три вопроса сразу: кто владелец сертификата, каким удостоверяющим центром он выдан и действовал ли сертификат на момент подписания. По цепочке сертификации видно и вид подписи: у УКЭП в вершине цепочки стоит Минцифры России, у неквалифицированной подписи корневым будет сам сервис или удостоверяющий центр, который её выдал.
Факт: для отчётности через ЕГАИС подойдёт только ключ формата PKCS#11. Программный извлекаемый ключ на пассивном носителе система не примет, каким бы свежим ни был сертификат.
Где ИП получает подпись и сколько это занимает
Квалифицированный сертификат на индивидуального предпринимателя с 1 января 2022 года выдаёт удостоверяющий центр ФНС России бесплатно. Ключ по регламенту УЦ ФНС создаётся неэкспортируемым: скопировать контейнер на второй носитель нельзя, это сделано намеренно ради безопасности. Носитель предприниматель приносит свой, и он должен быть сертифицирован.
Второй маршрут — Госключ. Приложение работает на iOS, Android и Huawei, УНЭП формируется дистанционно при подтверждённой учётной записи на Госуслугах, а для квалифицированной подписи в приложении понадобятся биометрический загранпаспорт нового образца и смартфон с NFC. Отправить документы на подписание и посмотреть, как устроен маршрут, можно через сервис Госключа на портале Госуслуг: там же публикуются требования к учётной записи и порядок проверки выпущенного сертификата.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда подпись нужна срочно, посмотрите на Госключ: УНЭП там выпускается за несколько минут и не требует ни визита, ни носителя. Но для налоговой, торгов и ЕГАИС этот путь не работает, туда идёт только квалифицированная подпись. Планируйте визит в УЦ ФНС заранее, а не в последнюю неделю отчётного периода.»
Если у вас есть наёмные работники и они подписывают документы от вашего имени, схема другая: работник получает сертификат на себя как на физическое лицо в аккредитованном удостоверяющем центре, а полномочия подтверждаются машиночитаемой доверенностью. Порядок действует с 1 сентября 2023 года; сертификаты, выданные на сотрудников до 31 августа 2023 года, доживали свой срок, но не дольше 31 августа 2024 года.
Полезно знать: закрытая часть ключа Госключа хранится на самом смартфоне. Удалили приложение или забыли пароль от него — доступа к подписи нет ни у вас, ни у Минцифры, сертификат придётся выпускать заново, и это будет уже другая подпись со своим сроком действия.
Носитель ключа: токен, облако или смартфон
Ключи на токене делятся на две группы. Извлекаемые генерирует программный криптопровайдер, и токен работает как защищённое PIN-кодом хранилище: во время подписания закрытый ключ ненадолго попадает в оперативную память компьютера. Неизвлекаемые ключи рождаются внутри криптоядра токена и его не покидают, скопировать их невозможно. Для первой группы достаточно сертификации ФСТЭК, для второй нужна сертификация ФСБ, иначе подпись не будет считаться квалифицированной.
Рутокен Лайт криптоядра не содержит и остаётся пассивным хранилищем. Рутокен ЭЦП 3.0 умеет и то и другое: в КриптоПро CSP при создании контейнера вы выбираете режим совместимости с CSP 4.0, режим функционального ключевого носителя с защитой канала по протоколу SESPAKE или формат PKCS#11. JaCarta и eSmart Token ГОСТ работают по той же логике, драйверы для них скачиваются с сайтов производителей, и без драйвера носитель в системе просто не появится.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Лайфхак: у Рутокен ЭЦП 3.0 128 КБ защищённой памяти. В формате CSP на него помещается до 31 контейнера, но тяжёлый контейнер с цепочкой сертификатов и расширениями занимает до 12 КБ, и тогда реально влезает около десяти. Перед тем как записывать вторую и третью подпись на один токен, оцените размер контейнеров.
Важный нюанс из практики: токен — вещь мобильная, и один и тот же ключ часто используют на нескольких компьютерах. Если хотя бы на одном из них стоит КриптоПро CSP 4.0, ключ нужен извлекаемый: режим функционального ключевого носителя с защитой канала работает только с версией 5.0 и старше.
Рабочее место: КриптоПро CSP, драйверы и корневые сертификаты
Подпись не работает сама по себе, ей нужен стек программ на компьютере. Для квалифицированного сертификата УЦ ФНС набор фиксированный: драйвер носителя, СКЗИ КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, КриптоПро ЭЦП Browser Plug-in с расширением для браузера, корневые сертификаты Минцифры России и УЦ ФНС и сам личный сертификат из контейнера.
Как собрать рабочее место для работы с КЭП: пошаговая инструкция
- Шаг 1. Определите тип носителя визуально или по документам и скачайте драйвер с сайта производителя: Рутокен, JaCarta или eSmart. Установите его в режиме по умолчанию.
- Шаг 2. Установите КриптоПро CSP 5.0 R2 сборки 12000 или выше. В рамках эксперимента по безвозмездному предоставлению ПО пользователям УЦ ФНС дистрибутив выдаётся вместе с браузерным плагином.
- Шаг 3. Скачайте два корневых сертификата с ресурса uc.nalog.ru/crt: сертификат Минцифры России ставится в хранилище «Доверенные корневые центры сертификации», сертификат УЦ ФНС — в «Промежуточные центры сертификации».
- Шаг 4. Откройте КриптоПро CSP, вкладка «Сервис», кнопка «Просмотреть сертификаты в контейнере», выберите контейнер на подключённом токене и установите личный сертификат.
- Шаг 5. Установите КриптоПро ЭЦП Browser Plug-in, включите расширение в браузере и проверьте его работу на странице проверки плагина.
- Шаг 6. Получите код абонента через сервис регистрации сертификата на сайте ФНС: он понадобится при формировании транспортного контейнера с отчётностью.
Ошибка «не найден корневой сертификат» почти всегда означает разрыв цепочки на третьем шаге. У квалифицированного сертификата цепочка ставится при выпуске, а у неквалифицированной подписи корневой сертификат нужно устанавливать вручную и осознанно: после установки система будет доверять всему, что этим центром подписано.
Внимание: встроенная криптография токена не заменяет КриптоПро CSP. Если информационная система требует этот криптопровайдер, его придётся установить на компьютер и ввести лицензию. В рамках пилотного проекта УЦ ФНС лицензия вшивается в сертификат и действует ровно столько, сколько действует сам сертификат подписи.
В практике Добыто именно этот пункт даёт больше всего обращений: предприниматель оплатил токен, получил сертификат, а лицензия на криптопровайдер оказалась привязана к чужому ключу. Полная лицензия нужна, если вы формируете запросы на сертификат сами или используете ключи, выпущенные центрами, которые расширение лицензии в сертификат не вкладывают.
Форматы подписи: p7s, sig, sgn и присоединённый контейнер
Подпись бывает присоединённой и откреплённой. В первом случае документ и подпись лежат в одном файле, и открыть исходный документ без специальной программы не получится. Во втором рядом с документом появляется отдельный файл подписи, и на проверку нужно подавать оба файла сразу. Расширение этого файла выбирается в настройках программы: Инструменты КриптоПро предлагают p7s, sig и sgn, КриптоАРМ ГОСТ добавляет sign и bin, а для PDF отдельно существует встроенная подпись по стандарту PAdES.
Само по себе расширение содержимое не меняет: и p7s, и sig — контейнер CMS с подписью формата CAdES-BES. Меняется поведение принимающей стороны. Одна площадка ждёт строго sig, другая отклоняет всё, кроме p7s, третья принимает только присоединённый контейнер одним файлом. Когда контрагент пишет, что ваш файл не открывается, вопрос почти всегда в этом, а не в подписи. Готовое письмо о переподписании экономит переписку: вы сразу указываете, в каком виде повторно отправите документ.
Отдельная история — срок жизни сертификата. Он обычно действует год, и после его окончания встаёт вопрос, когда именно был подписан документ. Ответ даёт усовершенствованная подпись: к ней добавляются штамп доверенной службы времени и ответы службы проверки статуса сертификата, которые подтверждают, что на момент подписания сертификат действовал и не был отозван.
Мария Ж, судебный эксперт по трудовому праву: «Штампу времени не уделяют внимания до первого спора. Сертификат действует год, документ живёт дольше, и без штампа доказать момент подписания нечем: визуальный штамп на PDF в суде ничего не значит, смотреть будут исходный файл и файл подписи. Если документ важный, подписывайте его в усовершенствованном формате и храните архив целиком, а не распечатку.»
Образцы документов для работы с электронной подписью
Комплект для предпринимателя, который получает подпись и наводит порядок в учёте ключей; начните с чек-листа диагностики, если подпись уже не проходит проверку.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Реестр выданных токенов | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Письмо контрагенту о переподписании | Скачать |
Когда за вас подписывает сотрудник: данные МЧД и филиалы
Машиночитаемая доверенность — это XML-файл, который прикладывается к подписанному документу и подтверждает полномочия подписанта. Внешне она может выглядеть как обычная доверенность, если выгрузить её в PDF, но проверяет её не человек, а алгоритм принимающей системы. Отсюда требование к содержанию: полномочия указываются кодами из классификатора, размещённого в единой системе нормативной справочной информации, а каждый код имеет свою дату и уникальный номер.
В данных МЧД указываются сведения о доверителе, о представителе (ФИО, СНИЛС, паспортные данные), перечень полномочий и срок действия. Подписывает доверенность руководитель или сам предприниматель своей квалифицированной подписью. Создать доверенность для налоговых действий можно на сервисе ФНС: он формирует XML, который вы скачиваете и прикладываете к документам сотрудника. Ограничение сервиса в том, что доверенности он создаёт для взаимодействия с налоговой, а не для любых задач.
Если предприниматель работает через обособленные точки и полномочия нужно передать дальше по цепочке, передоверие оформляется у нотариуса: понадобятся паспорт нового уполномоченного лица и актуальная выписка из реестра. Нотариус создаёт новую доверенность, подписывает её своей квалифицированной подписью и выгружает в информационную систему. Техническая готовность нотариусов различается, поэтому на передоверие закладывайте отдельное время, особенно вне крупных городов.
Компания может добавить свои полномочия в классификатор: перечень направляется в Минцифры, там его рассматривают в течение 10 дней и при положительном решении в течение трёх рабочих дней присваивают коды.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Подписывать документ нужно тем сертификатом, который указан в машиночитаемой доверенности. Иметь две действующие подписи на одно физическое лицо закон не запрещает, но если в МЧД записан один сертификат, а документ подписан другим, проверка полномочий у принимающей стороны не пройдёт. Перед массовой отправкой сверьте СНИЛС и ФИО в доверенности с полями сертификата.»
Журнал ЭЦП: учёт носителей и что делать, если забыли PIN
Даже у предпринимателя с двумя-тремя ключами через год возникает путаница: какой токен чей, что на нём записано и когда истекает сертификат. Журнал учёта решает это в одну таблицу: модель и серийный номер носителя, владелец сертификата, удостоверяющий центр, даты выпуска и окончания, формат ключа, отметка о выдаче и возврате. Панель управления носителем показывает установленные сертификаты и срок их действия, а также признак неэкспортируемой ключевой пары, так что заполнить журнал можно с самого токена. В проектах Добыто мы заводим такой журнал вместе с реестром сертификатов на старте, до выдачи первых носителей: он же показывает, у кого сертификат заканчивается в ближайший месяц.
PIN-код меняется и разблокируется в панели управления носителем, но только при известном PIN администратора. Если заблокированы оба, содержимое токена восстановить нельзя: носитель форматируется, ключ уничтожается, а сертификат придётся выпускать заново со всей процедурой идентификации. У Госключа сценарий похожий: пароль от приложения восстановлению не подлежит, подпись выпускается повторно.
Кейс из практики: работник оспорил увольнение, заявив, что соглашение подписывал не он. Подпись была неквалифицированной, выпущенной на токен, который хранился в сейфе работодателя. Суд изучил документы, вводящие электронный документооборот, и порядок передачи файла в удостоверяющий центр, признал увольнение незаконным и взыскал компенсацию в пользу работника. Вывод для предпринимателя простой: ответственность за хранение ключа лежит на владельце сертификата, и общий сейф эту ответственность не переносит.
Во что обходится ошибка с подписью
Прямые потери редко сводятся к стоимости нового токена. Заблокированный носитель в отчётный период означает повторный визит в место выдачи и простой до получения нового сертификата. Неверно выбранный формат ключа выясняется в момент, когда система отказывается принять документ, и переделывать приходится всё: новый носитель, новый контейнер, новый сертификат. Уволенный сотрудник с действующим сертификатом и неотозванной МЧД сохраняет техническую возможность подписывать документы: сертификат отзывается заявлением в тот удостоверяющий центр, который его выдал, а удаление сертификата из хранилища компьютера отзывом не является.
Что проверить до покупки подписи
- Перечислите системы, куда пойдут подписанные документы, и уточните требования каждой к виду подписи и формату ключа.
- Проверьте, есть ли среди них ЕГАИС: она задаёт формат PKCS#11 и определяет модель носителя.
- Выясните, на скольких компьютерах будет использоваться ключ и какая версия КриптоПро CSP на них стоит.
- Решите, кто кроме вас будет подписывать документы, и заранее спланируйте сертификаты физических лиц и МЧД.
- Заведите журнал учёта носителей до того, как ключей станет больше одного.
Когда электронная подпись предпринимателю избыточна
Квалифицированная подпись нужна не всем и не всегда. Если вы не сдаёте отчётность самостоятельно, не участвуете в торгах, не работаете с маркируемыми товарами и обмениваетесь с контрагентами бумажными договорами, покупка токена и настройка криптопровайдера не решают ни одной задачи. Для разовых сценариев вроде подачи заявления через портал госуслуг достаточно подтверждённой учётной записи и УНЭП из Госключа.
Усиленная подпись избыточна и там, где документ не может стать предметом спора: внутренние заявки, служебные записки, подтверждение операции в учётной системе. Здесь ПЭП экономит время и не создаёт рисков, потому что цена ошибки близка к нулю. Обратное тоже верно: как только речь идёт о деньгах, увольнении или обязательствах перед третьим лицом, ПЭП перестаёт быть подходящим инструментом.
Важный нюанс из практики: у ИП с наёмными работниками первым узким местом становится не подпись руководителя, а подписание кадровых документов работниками. В сервисе Добыто ПЭП и УНЭП для сотрудников выпускаются в рамках тарифа, отдельная покупка сертификатов на каждого не требуется, а вид подписи под каждый тип документа закрепляется в положении о переходе на КЭДО.
Стоимость электронных подписей и КЭДО для ИП
Стоимость складывается из двух частей: сертификаты для вас как для предпринимателя и платформа с подписями для работников. Квалифицированный сертификат на ИП в УЦ ФНС выдаётся бесплатно, оплачивается только носитель. Тарифы на кадровый документооборот считаются по численности.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт», до 25 сотрудников, ПЭП и УНЭП | от 30 ₽ за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес», без ограничения по численности, ПЭП, УНЭП и УКЭП | от 50 ₽ за сотрудника в месяц | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | в рамках подключения |
| УКЭП для сотрудников через партнёров-удостоверяющих центров | по запросу | по регламенту УЦ |
| Модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Переход на другой тариф | разница пересчитывается пропорционально | в любое время |
Итоговая сумма зависит от численности, состава документов и того, нужна ли интеграция с учётной системой. Актуальные условия по каждому пакету и состав функций собраны на странице тарифов ДОБЫТО КЭДО, там же указано, что входит в стоимость подписей для сотрудников.
Для предпринимателя со штатом до 25 человек экономика считается просто: подписи работников входят в тариф, а отдельная статья расходов остаётся только на квалифицированные сертификаты тех, кто подписывает документы от имени бизнеса во внешних системах.
Выводы
Выбор подписи начинается с перечня систем, куда пойдут ваши документы, и заканчивается формой хранения ключа. Для ФНС, торгов и ЕГАИС предпринимателю нужна квалифицированная подпись на сертифицированном носителе, причём для алкогольного оборота критичен формат ключа, а не модель токена. Для кадровых документов и обмена с контрагентом по соглашению сторон хватает ПЭП или УНЭП, а Госключ закрывает сценарии, где подпись нужна быстро и без визита. Учёт носителей, срок действия сертификата и порядок отзыва при увольнении важнее, чем кажется в момент покупки.
Мы в Добыто ежедневно занимаемся тем, что раскладываем документы предпринимателя по видам подписи и настраиваем подписание так, чтобы работник ставил подпись со смартфона, а руководитель не собирал сертификаты вручную. Если у вас есть наёмные работники, начинать удобнее с пилотной группы: она снимает основную часть ошибок настройки до того, как процесс развернут на всех.
Частые вопросы
Можно ли иметь две действующие подписи на одного человека
Да, закон это не запрещает. Предприниматель может пользоваться квалифицированным сертификатом из УЦ ФНС и одновременно иметь сертификат физического лица, выпущенный в коммерческом удостоверяющем центре, например для работы по машиночитаемой доверенности. Ключи не конфликтуют: один лежит на токене, другой может храниться в реестре компьютера или в облаке. Важно только подписывать документ тем сертификатом, который указан в доверенности или требуется конкретной системой.
Нужна ли отдельная лицензия КриптоПро, если сертификат получен не в ФНС
Лицензия, вшитая в сертификат, работает только с тем ключом, которому этот сертификат соответствует, зато на любом компьютере, даже с истёкшей лицензией провайдера. Если вы планируете использовать другие ключи, формировать запросы на сертификат самостоятельно или работать с сертификатами центров, которые расширение лицензии не вкладывают, понадобится полная лицензия на КриптоПро CSP. Лицензия на версию 5.0 действует на всю линейку 5.0, включая сборки R2 и R3.
Работает ли электронная подпись на Linux, Android и iOS
Криптопровайдер выпускается не только для Windows: есть сборки для Linux, macOS, Android, iOS и Авроры, включая готовые пакеты для отечественных дистрибутивов. Отдельно существуют мобильные сценарии: смарт-карты и токены с интерфейсом NFC работают со смартфоном, а подпись можно формировать через мобильное приложение, связанное с сервером электронной подписи. Для полноценной работы под конкретной операционной системой сверяйтесь со списком поддерживаемых платформ на сайте производителя криптопровайдера.
Контрагент прислал файл с расширением sgn, что с ним делать
Это тот же контейнер подписи, что p7s и sig, просто программа отправителя сохранила его с другим расширением. Если ваша программа проверки такой файл не берёт, попросите контрагента переподписать документ в нужном формате или уточните у принимающей системы, какое расширение она ожидает. Проверять откреплённую подпись нужно всегда парой: сам документ плюс файл подписи, по одному файлу проверка не проходит.
Что происходит с подписью и МЧД при увольнении сотрудника
Сертификат отзывается заявлением в тот удостоверяющий центр, который его выдал, инициатором выступает владелец подписи. Машиночитаемая доверенность прекращается отзывом со стороны доверителя. Удаление сертификата из хранилища компьютера ни отзывом, ни прекращением полномочий не является: технически ключ остаётся действующим до конца срока. Отзыв сертификата и МЧД имеет смысл включить в лист обходного при увольнении, иначе он забывается.
Можно ли скопировать ключ с токена на второй носитель
Зависит от того, как сгенерирован ключ. Извлекаемый контейнер копируется, если при создании установлен флаг экспортируемости. Удостоверяющий центр ФНС по регламенту выдаёт только неэкспортируемый контейнер, поэтому скопировать такой ключ нельзя. Неизвлекаемые ключи, сгенерированные внутри криптоядра токена, не покидают устройство в принципе: скопировать их невозможно, а при форматировании носителя они уничтожаются вместе с контейнером.
