Электронная подпись для PDF-документов ставится в трех форматах, и выбор между ними решает не внешний вид документа, а примут его на другой стороне или вернут. Открепленная подпись создает второй файл рядом с исходным: dogovor.pdf и dogovor.pdf.sig. Присоединенная упаковывает документ внутрь криптоконтейнера, и без специальной программы получатель исходный PDF не откроет. Встроенная подпись стандарта PAdES живет внутри самого PDF, подписи обеих сторон остаются в одном файле. Главное различие для секретаря: госорганы и сервис проверки на Госуслугах работают с открепленной подписью в формате PKCS#7, а для двустороннего договора с контрагентом обычно удобнее встроенная PAdES, потому что по почте едет один файл, а не три.
Разберем, чем отличаются расширения sig, p7s, sgn, sign и bin и почему их допустимо переименовывать. Покажем, какой формат просит каждая приемная сторона, как выглядит корректная пара файлов и почему просмотрщик PDF иногда пишет о недействительной подписи на исправном документе. Отдельно разберем штамп «Подписано цифровой подписью»: он к подписи отношения не имеет. Сценарная таблица форматов, чек-лист перед подписанием, требования к подписи машиночитаемой доверенности и тарифы на 2026 год — во второй половине статьи.
Подписать PDF и сразу получить пару «документ плюс файл подписи» можно прямо здесь: форма работает в браузере и не требует установки программ.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Три формата подписи для PDF и что получается на выходе
Формат подписи задается настройками программы, а не типом документа и не моделью токена. Один и тот же PDF, подписанный одним и тем же сертификатом на Рутокене, JaCarta или ESMART, даст разный результат в зависимости от того, что выбрано в окне подписания. Поэтому вопрос «какой формат выбрать» решается до нажатия кнопки, а не после.
Технически подпись почти всегда укладывается в контейнер PKCS#7 (он же CMS) либо в его усовершенствованную надстройку CAdES. Присоединенная подпись включает документ внутрь контейнера, отсоединенная лежит рядом отдельным файлом. Встроенная подпись PDF — это отдельная история: она размещается внутри структуры самого PDF по стандарту PAdES.
| Формат | Что получает адресат | Когда подходит | Ограничение |
|---|---|---|---|
| Отсоединенная (открепленная) CAdES / PKCS#7 | Два файла: исходный PDF и файл подписи на 1-2 КБ | Отправка в госорганы, проверка на Госуслугах, подписание XML и машиночитаемой доверенности | Файлы нельзя разлучать и нельзя переименовывать документ: подпись перестанет сходиться |
| Присоединенная CAdES / PKCS#7 | Один файл-контейнер, внутри которого лежит PDF | Передача одним вложением, когда обе стороны работают в криптопрограммах | Получатель без программы проверки исходный PDF не увидит вообще |
| Встроенная в PDF (PAdES) | Один PDF, внутри которого подписи всех сторон и видимый штамп | Двусторонние договоры, документы, которые дальше читают люди, а не система | Есть не во всех программах: в сертифицированный КриптоАРМ ГОСТ 3 подпись PDF не вошла, она в шестой версии |
| Усовершенствованная CAdES-T и CAdES-A | Контейнер с меткой времени и доказательствами статуса сертификата | Документы, которые нужно проверять спустя годы после подписания | Нужны службы штампов времени (TSP) и проверки статусов сертификатов (OCSP) |
Из таблицы следует простое правило отбора: если документ дальше уходит в машину, берите отсоединенную подпись, если документ дальше читает человек и подписывает вторая сторона, берите встроенную PAdES. Все, что должно пережить срок действия сертификата, подписывается с меткой времени.
Расширения sig, p7s, sgn, sign и bin: чем они отличаются
Расширение файла подписи и формат подписи — разные вещи. В настройках подписания КриптоАРМ ГОСТ расширение выбирается из списка: sig, p7s, sgn, sign, bin. Внутри при этом лежит один и тот же контейнер CAdES с выбранной кодировкой (DER или BASE64). Меняется метка на файле, а не его содержимое.
Практический вывод для секретаря: если приемная сторона требует файл с расширением .sig, а программа выдала .sgn, файл достаточно переименовать. Подпись при переименовании файла подписи не ломается, потому что хэш считался с документа, а не с имени файла подписи. Ломается подпись при переименовании самого документа. На партии из 1500 файлов массовое переименование расширения выполняется одной командой Rename-Item в PowerShell и занимает секунды.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Мария Ж, специалист по цифровой подписи и КЭДО: «Половина обращений про «неправильный формат подписи» решается переименованием файла. Приемная сторона написала в требованиях .sig, программа контрагента отдала .sgn или .p7s, и документ разворачивают, хотя внутри лежит корректный контейнер CAdES. Прежде чем переподписывать документ, откройте требования площадки и сверьте, что там указано: вид подписи или расширение файла. Это разные требования, и закрываются они по-разному.»
Лайфхак: для проверки подписи КриптоАРМ ГОСТ не требует установки лицензии. Если задача не подписать, а убедиться, что присланный файл подписи корректен, программу можно поставить и проверять без покупки лицензии.
Штамп «Подписано цифровой подписью» подписью не является
Синий или черный прямоугольник с надписью «Подписано цифровой подписью» и датой — это визуализация, картинка внутри страницы. Юридическую значимость несет электронный оригинал с подписью, которую можно проверить, а не распечатка или PDF со штампиком. Штамп фактически нарисован, и проверить подпись под таким документом невозможно.
В программах визуализация обычно ставится не на оригинал, а на его копию: документ подписан отсоединенной подписью, и, если открыть сам PDF, внутри него никаких сведений о подписании нет. Штамп нужен, чтобы человек при просмотре увидел, что документ подписан, и не более того.
Внимание: распечатка PDF со штампом об электронной подписи сама по себе юридической значимостью не обладает. Если документ нужен как доказательство, передавайте электронный оригинал с подписью, которую вторая сторона сможет проверить.
Какой формат просит конкретная приемная сторона
Универсального ответа нет: формат диктует тот, кто документ принимает. Ниже сведены типовые сценарии, с которыми секретарь сталкивается чаще всего.
| Сценарий | Что критично | Что вторично |
|---|---|---|
| Проверка документа на портале Госуслуг | Отсоединенная подпись в формате PKCS#7, оба файла загружаются отдельно | Наличие визуального штампа на странице |
| Двусторонний договор с контрагентом по почте | Порядок передачи: при открепленной подписи едут три файла, при PAdES один | Расширение файла подписи |
| Подписание машиночитаемой доверенности | Только XML и только отсоединенная подпись УКЭП руководителя | Программа, в которой доверенность подписана |
| Загрузка через веб-сервис подписания | Предельный размер файла: на сервисе подписания mos.ru это 15 МБ | Кодировка контейнера DER или BASE64 |
| Документ на хранение дольше срока действия сертификата | Метка времени в подписи, иначе через несколько лет подпись не проверить | Присоединенная подпись или отсоединенная |
Проверить результат подписания можно бесплатно и без регистрации через сервис подтверждения подлинности электронной подписи на портале Госуслуг: там отдельно загружается документ и отдельно файл отсоединенной подписи, а сервис отвечает по существу — подпись подтверждена или нет. Если проверка проходит там, вопрос к формату снят.
В практике Добыто секретари чаще всего спотыкаются на одном шаге: отправляют один файл из пары. Результат подписания мы отдаем архивом именно поэтому, чтобы документ и файл подписи уезжали контрагенту вместе.
Что проверить до подписания: короткая диагностика
- Требования приемной стороны. Найдите в регламенте или письме, какой вид подписи требуется: отсоединенная, присоединенная или встроенная в PDF.
- Финальность документа. После подписания переименовывать и пересохранять документ нельзя: любое изменение содержимого ломает подпись.
- Срок действия сертификата. Сертификат должен быть действителен на момент подписания, иначе подпись не пройдет проверку.
- Размер файла. Сверьте с лимитом сервиса, через который будете отправлять.
- Потребность в метке времени. Если документ хранится дольше срока действия сертификата, метка времени нужна сразу, задним числом ее не добавить.
- Полномочия подписанта. Если подписывает не руководитель, а сотрудник по сертификату физического лица, к документу нужна машиночитаемая доверенность.
Как подписать PDF и не ошибиться с форматом: пошаговая инструкция
- Шаг 1. Приведите документ в финальный вид и больше его не открывайте на редактирование: подпись считается с текущего содержимого файла.
- Шаг 2. Выберите вид подписи. Отсоединенная — если документ идет в государственную систему или на проверку. Встроенная PAdES — если PDF подписывают две стороны и он дальше живет как один файл.
- Шаг 3. Задайте расширение файла подписи по требованию приемной стороны: sig, p7s, sgn, sign или bin. Если требования нет, оставьте sig.
- Шаг 4. Если документ уйдет в архив на годы, включите метку времени и добавление сведений о статусе сертификата.
- Шаг 5. Подпишите документ и убедитесь, что рядом появился парный файл подписи размером порядка 1-2 КБ либо что штамп встал внутрь PDF.
- Шаг 6. Проверьте подпись до отправки и сохраните протокол проверки: он пригодится, если вторая сторона заявит, что подпись не читается.
- Шаг 7. Отправляйте оба файла вместе и предупреждайте получателя, что второй файл открывать как документ не нужно.
Долговременное хранение: почему через три года подпись перестает проверяться
У ключа подписи и у ключа проверки подписи разные сроки действия. Подписывать документ можно до истечения срока действия ключа подписи, а проверять — до истечения срока действия ключа проверки. Когда сертификат истек, проверка обычной подписи упирается в невозможность подтвердить, что на момент подписания сертификат был действителен.
Решение одно: метка времени в подписи и сведения о статусе сертификата на момент подписания. Именно это добавляют форматы CAdES-T и CAdES-A с обращением к службам штампов времени и проверки статусов сертификатов. Для документов со сроком хранения свыше 10 лет это единственный рабочий вариант.
Хранение при этом остается зоной архивных требований. 125-ФЗ «Об архивном деле», статья 13, пункт 2, дает организации право самостоятельно создавать архив и организовывать хранение документов. Правила организации хранения, учета и использования документов утверждены приказом Минкультуры номер 526, а типовые функциональные требования к системам электронного документооборота и системам хранения электронных документов — приказом Росархива от 15 июня 2020 года. Стратегию долговременной сохранности описывает ГОСТ Р 57762-2017: читаемость, интерпретируемость, идентифицируемость, доступность, аутентичность, конвертация, миграция, безопасность.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: сертификаты соответствия на КриптоПро CSP 5.0 R1, 5.0 R2 и 5.0 R3 действуют до 1 мая 2027 года, а сертификат на четвертую версию — до 15 января 2026 года. Ключевые носители с неизвлекаемым ключом работают начиная с пятой версии.
Мария Ж, судебный эксперт по трудовому праву: «Спор всплывает не в момент подписания, а через два-три года, когда сертификат уже истек. Если метки времени в подписи нет, доказывать придется косвенно, и это уже совсем другая история. Мы советуем разделить поток: текущая переписка подписывается обычной подписью, а договоры, соглашения и кадровые документы длительного хранения — сразу с меткой времени.»
Формат подписи для МЧД и что меняется для филиала
Машиночитаемая доверенность — это электронный документ в формате XML, который подписывается электронной подписью руководителя организации. Перевести бумажную доверенность в PDF и подписать ее УКЭП недостаточно: формат XML закреплен приказом 858, состав сведений — приказом 857, порядок формирования классификатора полномочий — приказом 856. Подпись под МЧД делается отсоединенной, поэтому в комплекте всегда два файла: сам XML и файл подписи.
Номер доверенности — 36-символьный идентификатор. Проверить доверенность на стороне ФНС можно, зная три параметра: номер доверенности, ИНН доверителя и СНИЛС доверенного лица. Сервис показывает, активна доверенность или нет, сведения о доверителе, доверенном лице и полномочиях.
Для филиалов действует отдельное правило передоверия. По Гражданскому кодексу доверенность в порядке передоверия заверяется нотариально всегда, кроме двух случаев: когда доверенность оформляется от юридического лица юридическому лицу и когда цепочка идет через руководителя обособленного филиала. Во всех остальных ситуациях, включая передоверие внутри одной организации или внутри одного филиала, нужен нотариус, и МЧД тут не исключение.
Полезно знать: любое изменение XML-файла доверенности ломает подпись. Если сотруднику добавили полномочия, это новая МЧД, а не исправленная старая. Сертификат и доверенность между собой не связаны: доверенность может действовать 5 лет, и за этот срок сотрудник поменяет несколько сертификатов.
Программы для подписания PDF и их реальные ограничения
Возможности программ по подписи PDF различаются сильнее, чем кажется по описаниям. Встроенная подпись PDF в сертифицированное исполнение КриптоАРМ ГОСТ 3 не вошла: эта функциональность есть в шестой версии, где к ней добавлены мастер подписи и защиты PDF, настройка графического штампа, пакетная подпись и сертификация документа, после которой в него уже нельзя внести изменения. Возможность подписи и проверки подписи PDF заявлена также в Крипто Эксперт от CrypteX, там же реализована усовершенствованная подпись CAdES-XL Type 1 и работа с МЧД с проверкой статусов доверенности.
Отдельная линия — подпись писем, а не файлов. КриптоАРМ ГОСТ 3 включает почтовый клиент, который подключается к серверам по IMAP, SMTP и POP3 через защищенное соединение по ГОСТ и работает по стандарту S/MIME: ГОСТ 2012 для подписи и ГОСТ 2015 для шифрования. Если задача не подписать вложение, а защитить само письмо, формат подписи выбирается уже не в окне подписания файла, а в настройках почтового аккаунта.
Если вы работодатель и читаете этот раздел с мыслью, что раскатывать криптопрограммы на каждое рабочее место дорого, для массового потока кадровых документов локальный криптопровайдер не нужен: в Добыто сотрудники подписывают из браузера или с телефона, а токены остаются только у тех, кому нужна УКЭП для внешних систем.
Шаблоны и памятки для работы с файлами подписи
Комплект закрывает типовые заминки при обмене подписанными PDF; начните с памятки получателю, ее удобно отправлять контрагенту вместе с первым подписанным документом.
| Документ | Скачать |
|---|---|
| Памятка получателю: почему пришло два файла и что с ними делать | Скачать |
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Реестр сертификатов сотрудников: журнал учета подписей | Скачать |
| Шпаргалка по командам cryptcp | Скачать |
Когда встроенная подпись PDF не подходит
Встроенная PAdES выглядит удобнее всех вариантов, но подходит не везде. Первый случай: документ уходит в государственную информационную систему или на сервис проверки, который принимает только отсоединенную подпись в формате PKCS#7. Второй: подписывается не PDF. Машиночитаемая доверенность существует только в XML, счет-фактура и другие формализованные документы тоже, и встроенная подпись PDF там неприменима в принципе.
Третий случай: подписывающая сторона работает в сертифицированном исполнении программы, где подписи PDF нет. Четвертый: документ должен остаться байт в байт таким, каким его прислали. Встроенная подпись изменяет сам файл PDF, и если вторая сторона сверяет контрольную сумму присланного документа, расхождение придется объяснять.
Во что обходится ошибка с форматом
Стоимость ошибки складывается не из переподписания, а из повторного круга согласования. Документ, отправленный в неверном формате, разворачивают, и цикл идет заново: письмо контрагенту, подготовка нового комплекта, повторная подпись руководителя, повторная отправка. Если руководитель в командировке или токен у него на руках, этот круг растягивается на дни.
Вторая часть цены — утраченная доказательность. Если вместо электронного оригинала с подписью передали PDF со штампом, документ есть, а подтвердить его подпись нечем. Третья часть касается длительного хранения: подпись без метки времени, поставленная сегодня, через несколько лет после истечения сертификата перестает проверяться, и восстановить это задним числом невозможно. Документ придется переподписывать, а если вторая сторона к тому времени ликвидирована, то и переподписывать не с кем.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы закладываем в регламент обмена одну строку: какой вид подписи стороны используют и какое расширение у файла подписи. Она снимает большую часть переписки в первый месяц обмена. Если регламента нет, договоритесь об этом хотя бы письмом до первой отправки: разбирать формат постфактум всегда дороже, чем согласовать его заранее.»
Ошибка проверки не всегда означает проблему с подписью
Красная плашка «По крайней мере одна подпись недействительна» в просмотрщике PDF означает не подделку, а то, что программа не смогла построить цепочку доверия: в панели подписей при этом обычно значится ошибка форматирования или сообщение о том, что личность подписавшего не установлена. Проверяющая сторона должна убедиться в трех вещах: сертификат выдан аккредитованным удостоверяющим центром, он действителен на момент подписания и не включен в список отозванных, а содержимое документа не менялось после подписания.
Для проверки строится цепочка сертификатов: сертификат конкретного лица, сертификат удостоверяющего центра, сертификат вышестоящего центра и головной удостоверяющий центр. Если хотя бы одно звено не установлено на компьютере, просмотрщик покажет ошибку на исправном документе. Проще всего снять вопрос сторонним сервисом проверки: он строит цепочку сам и выдает протокол с данными сертификата и алгоритмами ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.
Мария Ж, юрист со стажем более 20 лет: «Прежде чем писать контрагенту, что он прислал битую подпись, проверьте документ во внешнем сервисе. В практике Добыто значительная часть обращений про невалидную подпись заканчивается тем, что на рабочем месте не установлены корневые сертификаты. Сохраните протокол проверки: он показывает, чей сертификат, какие алгоритмы и в какой момент времени использовались.»
Стоимость подключения КЭДО и электронных подписей: тарифы Добыто на 2026 год
Стоимость зависит от численности сотрудников, набора нужных видов подписи и потребности в интеграции с учетной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 30 000 ₽ в год за 50 сотрудников | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | входит в тариф | при подключении |
| Получение УКЭП через партнеров-удостоверяющих центров | по запросу | по регламенту УЦ |
| Интеграция с 1С:ЗУП, готовый модуль | входит в тариф «Бизнес» | установка и настройка за 1 день |
Итоговая сумма считается по численности и выбранному набору функций: кастомные шаблоны, электронный архив и приоритетная поддержка входят в тариф «Бизнес», выделенный сервер и персональный менеджер в «Корпорацию». Актуальный состав тарифов и условия перехода между ними опубликованы на странице тарифов ДОБЫТО КЭДО.
Тариф можно повысить или понизить в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Формат подписи для PDF выбирается под приемную сторону, а не под удобство подписанта. Отсоединенная подпись нужна там, где документ проверяет система: госорганы, сервисы проверки, машиночитаемая доверенность. Встроенная PAdES удобна для двусторонних договоров, которые дальше читают люди. Расширение файла подписи работает как метка, а содержимое определяется настройками CAdES, поэтому переименование файла подписи допустимо, а переименование самого документа ломает проверку. Все, что хранится дольше срока действия сертификата, подписывается сразу с меткой времени.
Мы в Добыто выстраиваем этот выбор один раз на уровне регламента обмена и настроек сервиса, чтобы секретарю не приходилось решать вопрос формата под каждый документ: вид подписи, расширение файла и порядок передачи фиксируются заранее и дальше применяются автоматически.
Частые вопросы про формат подписи для PDF
Можно ли просто переименовать файл подписи из .sgn в .sig?
Да. Расширение файла подписи работает как метка, а не как формат: внутри лежит один и тот же контейнер CAdES. Программы дают выбор из пяти вариантов: sig, p7s, sgn, sign и bin. При массовой отправке партию файлов переименовывают одной командой Rename-Item в PowerShell, на 1500 файлах это занимает секунды. Переименовывать сам подписанный документ нельзя: проверка подписи после этого не пройдет.
Почему файл подписи не открывается на телефоне?
Файл подписи и не должен открываться: это не документ. В папке загрузок он выглядит как zayavlenie.pdf.sig размером около 512 байт с иконкой вопросительного знака, тогда как сам PDF весит сотни килобайт. Открывать нужно исходный документ, а файл подписи передавать вместе с ним и загружать в сервис проверки отдельным полем.
Что делать, если токен с ключом потерян или есть подозрение на компрометацию?
Немедленно уведомить удостоверяющий центр и других участников электронного взаимодействия, чтобы сертификат внесли в список отозванных. Документы, подписанные после включения сертификата в список отзыва, проверку не пройдут. Если средство подписи позволяло создавать копии ключей, пользоваться этими копиями после утраты нельзя: нужно создать новые ключи и выпустить новый сертификат.
Можно ли подписать не файл, а само письмо?
Да, для этого используется стандарт S/MIME: подпись по ГОСТ 2012 и шифрование по ГОСТ 2015. Почтовый клиент подключается к серверу по IMAP, SMTP или POP3 через защищенное соединение по ГОСТ, а подпись и шифрование исходящих писем настраиваются на уровне почтового аккаунта, а не отдельно для каждого письма.
Может ли секретарь подписывать документы токеном руководителя?
Участники электронного взаимодействия обязаны не допускать использования принадлежащих им ключей электронной подписи без их согласия: это часть 1 статьи 10 63-ФЗ. Ответственность за содержание подписанного документа остается на владельце сертификата, а не на том, кто нажал кнопку. Законный способ передать право подписи сотруднику — сертификат на его имя плюс машиночитаемая доверенность с нужными полномочиями.
Как подписать PDF размером больше 30 МБ?
Хэш большого файла считается программно на компьютере, а на токен передается уже готовый хэш для подписания. Сама операция подписи на носителе занимает около 0,3 секунды, а основное время уходит на вычисление хэша. Отдельно сверьте лимит сервиса, через который отправляете: у веб-сервисов подписания встречается ограничение в 15 МБ на файл.
