Электронная подпись в формате CAdES не валидна, если проверка контейнера, сертификата или подписанного файла завершилась ошибкой. В рубрике проверка создания подписи CAdES-BES в КриптоПро разберём причины для ФНС, ЭДО и МЧД.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Подпись CAdES не валидна
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
CAdES — контейнер усовершенствованной электронной подписи на базе CMS. Он связывает подпись с данными, сертификатом и дополнительными атрибутами.
Ошибка означает, что программа не подтвердила хотя бы один элемент: хэш документа, сертификат, цепочку доверия, штамп времени или сведения об отзыве.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Сначала определите тип CAdES, затем проверьте пару «документ плюс подпись» и сертификат подписанта. После исправления создайте новую подпись.
| Этап проверки | Что означает сбой | Действие |
|---|---|---|
| Подписанные данные | Файл изменился или выбран не тот | Вернуть исходную пару |
| Сертификат | Нет сертификата, цепочки или доверия | Проверить хранилища и УЦ |
| Штамп времени | CAdES-T не содержит действительный timestamp | Проверить сервис времени и создать новую подпись |
| Атрибуты CAdES | Ссылки и значения доказательств не совпадают | Сформировать контейнер заново |
| Полномочия | МЧД отсутствует или не подходит | Проверить доверенность и роль |
Таблица задаёт безопасную последовательность. Ручное редактирование CMS-контейнера не исправляет подпись и может удалить проверочные атрибуты.
Какие бывают CAdES-подписи
CAdES-BES содержит базовые атрибуты подписи и сертификат подписанта. Его проверяют по данным документа и цепочке сертификатов.
CAdES-T дополнительно использует штамп времени. Он связывает подпись с моментом, подтверждённым сервисом времени.
CAdES-X добавляет сведения, которые помогают проверять подпись после завершения короткого периода действия сертификатов.
CAdES-A ориентирован на длительное хранение и включает архивные доказательства. Конкретный профиль выбирают по регламенту получателя.
Открепленная CAdES хранится отдельным файлом, а присоединенная включает данные в контейнер. Проверяющему нужны разные входные параметры.
Расширение `.sig`, `.sgn` или `.p7s` не определяет профиль само по себе. Внутреннюю структуру смотрят в программе проверки.
В Добыто в чек-листе фиксируют профиль, способ хранения, наличие timestamp и формат передачи. Это снижает риск отправить неподходящий контейнер.
Мария Ж, юрист со стажем более 20 лет и судебный эксперт по корпоративному праву: «CAdES проверяют как пакет атрибутов: данные, сертификат, цепочка, время и доказательства. Такой checklist точнее, чем вывод по одному расширению файла».
Почему электронная подпись CAdES становится невалидной
Изменился подписанный файл
После подписи пользователь открыл PDF, XML или архив и сохранил его. Даже пробел, перекодировка или смена метаданных дают другой хэш.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Для открепленной подписи сверяют точное имя и содержимое исходного файла. Повторное переименование выполняют до создания нового контейнера.
Не найден сертификат подписанта
Ошибка `SIGNER_NOT_FOUND` возникает, если проверяющая программа не видит сертификат, на ключе которого создана подпись.
Проверьте хранилище пользователя, носитель и комплект сертификатов внутри контейнера. Для серверной проверки уточните, какие сертификаты передаются в запросе.
Не строится цепочка доверия
Корневой или промежуточный сертификат УЦ отсутствует либо не считается доверенным. CAdES может быть сформирован корректно, но проверка закончится отрицательно.
Установите цепочку из официального комплекта УЦ, обновите списки отзыва и повторите проверку на копии документа.
Сертификат истёк или отозван
Проверяют срок действия конечного сертификата и сертификатов цепочки. Отдельно смотрят статус в CRL или OCSP.
Новый сертификат не делает старый контейнер действительным. Документ подписывают заново после проверки реквизитов.
Не прошёл штамп времени
Для CAdES-T проверяют наличие и действительность timestamp. Ошибка возникает при недоступном сервисе времени, неверной цепочке TSA или повреждении атрибутов.
Проверьте дату компьютера, доступ к сервису времени и настройки СКЗИ. Затем создайте новый контейнер с корректным штампом.
Не совпали ссылки и доказательства
В профилях CAdES-X и CAdES-A ссылки на сертификаты и списки отзыва сопоставляются с вложенными значениями.
Ручное удаление атрибута или пересборка контейнера архиватором нарушает это соответствие. Используйте исходный файл и штатную программу подписи.
МЧД и невалидная CAdES-подпись
МЧД подтверждает полномочия физического лица, которое подписывает от имени организации. Она не заменяет сертификат и не исправляет повреждённый файл.
Проверяют идентификатор доверенности, период действия, ИНН организации и набор разрешённых действий.
Если МЧД отозвана или не соответствует документу, система может показать ошибку полномочий рядом с валидной криптографической подписью.
Для новой подписи сначала исправляют МЧД, затем формируют CAdES с актуальным сертификатом. Старый контейнер сохраняют в журнале.
При роуминге оператор ЭДО должен передать данные МЧД вместе с подписью. Неполный пакет выглядит как отсутствие полномочий у подписанта.
В Добыто реестр доверенностей можно связать с маршрутом подписи. Сотрудник видит доступные полномочия до отправки документа.
Проверка CAdES на сайте ФНС
На сайте ФНС ошибка может появиться при отправке декларации, заявления или уведомления. Сначала проверяют сертификат и рабочее место, затем формат контейнера.
ФНС указывает, что изменение электронного документа меняет хэш и нарушает соответствие подписи. Проверка также учитывает срок сертификата, отзыв и доверие к УЦ.
Для браузерной работы устанавливают совместимый криптографический плагин, драйвер носителя и сертификаты УЦ. После установки перезапускают браузер.
Если плагин видит ключ, но сайт отклоняет CAdES, проверьте формат подписи и выбранный сертификат. На странице может требоваться КЭП руководителя или представителя.
При отправке через личный кабинет сохраните протокол и идентификатор операции. Текст «CAdES не валидна» не заменяет код ошибки.
Если сбой повторяется на другой машине с тем же файлом, причина вероятнее в контейнере или сертификате. Если ошибка только на одном компьютере, проверяют настройки.
Диагностика CAdES в спорной ситуации
Начните с копии пакета, который не прошёл проверку. Рабочий файл оставьте без изменений до окончания анализа.
Запишите точное сообщение, код, дату и программу проверки. Один и тот же контейнер может давать разные статусы при разных настройках доверия.
Проверьте, относится ли подпись к документу или к другой подписи внутри контейнера. Вложенная подпись требует отдельного просмотра атрибутов.
Сравните размер и контрольную сумму файла с версией, которую подписывали. Несовпадение указывает на изменение данных.
Откройте сертификат подписанта и убедитесь, что ФИО, ИНН и организация совпадают с карточкой операции.
Проверьте цепочку в хранилищах «Личные», «Промежуточные центры» и «Доверенные корневые центры». Отсутствующий элемент добавляют до повторного теста.
Если используется CAdES-T, отдельно проверьте сертификат службы времени. Недействительный timestamp делает профиль непригодным для операции.
При CAdES-X или CAdES-A сверяют атрибуты доказательств. Несовпадение ссылок и вложенных значений исправляют только новой генерацией.
Для detached-контейнера проверяют расширение и имя по регламенту получателя. Формат `.p7s` может требовать исходное имя с добавленным суффиксом.
Если контейнер присоединён, не распаковывайте его для отправки отдельных файлов. Получатель может ждать единый CMS-объект.
После каждого изменения запускайте проверку в новой папке. Так видно, какое действие повлияло на результат.
Внутренний отчёт завершайте выводом: файл изменён, сертификат недействителен, цепочка отсутствует, timestamp ошибочен или полномочия не подтверждены.
Как проверить CAdES до отправки
Пошаговая инструкция
- Скопируйте исходный документ и CAdES-контейнер в отдельную папку.
- Определите профиль подписи и способ хранения: attached или detached.
- Проверьте имя и размер пары, не открывая документ с сохранением.
- Откройте сертификат подписанта и проверьте срок, владельца и УЦ.
- Постройте цепочку и обновите списки отзыва.
- Проверьте timestamp, если используется CAdES-T.
- Сверьте МЧД и права представителя.
- Запустите проверку в том же типе программы, который использует получатель.
- Сохраните протокол и отправьте проверенную версию.
Инструкция разделяет криптографическую и организационную проверку. Ошибку полномочий нельзя исправить настройкой хэша.
Коды и сообщения при проверке CAdES
| Сообщение | Причина | Исправление |
|---|---|---|
| Неверная подпись | Хэш документа не совпал | Вернуть исходный файл и подписать заново |
| Сертификат не найден | Нет сертификата подписанта | Передать сертификат и установить цепочку |
| Цепочка не построена | Нет доверенного УЦ | Добавить корневой и промежуточный сертификаты |
| Нет действительного timestamp | Сбой CAdES-T | Проверить сервис времени и пересоздать контейнер |
| МЧД не подходит | Нет полномочий или срок истёк | Исправить доверенность и подписать новую версию |
При обращении в поддержку передайте полный текст сообщения. Замена слова «CAdES» на «PKCS#7» без проверки формата может привести к новой ошибке.
Проверить, аккредитован ли издатель вашего сертификата, можно в реестре аккредитованных удостоверяющих центров Минцифры: если центра в списке нет, цепочка доверия не построится ни в одной системе, и переподписывать придётся новым сертификатом.
Профилактика ошибок в ЭДО
Закрепите одну программу для формирования CAdES и одну процедуру локальной проверки. Версии СКЗИ и плагинов фиксируют в регламенте.
Перед массовой отправкой проверяют одну тестовую запись. Если профиль и контейнер приняты, переходят к группе документов.
Сохраняйте исходник, контейнер, сертификат в открытом виде, МЧД, протокол и квитанцию. Закрытый ключ хранится отдельно.
Проверяйте сроки сертификатов и МЧД заранее. Напоминание ставят до окончания действия, чтобы новый выпуск не задержал отчётность.
При обновлении формата CAdES выполняйте контроль на копии. В архиве оставляют контейнер, который был принят получателем.
В Добыто такой процесс можно оформить как маршрут согласования с ролями автора, подписанта и проверяющего.
Мария Ж, спикер конференций по КЭДО и юриспруденции: «Для CAdES полезен release-контроль: сначала фиксируем файл и профиль, затем создаём контейнер и проверяем его тем же сценарием, что использует получатель».
Финальная проверка перед отправкой
Сверьте документ, контейнер, сертификат и МЧД с карточкой операции. Любая новая правка требует новой подписи.
Положительный локальный результат не отменяет контроль получателя. Проверьте формат, расширение, штамп времени и требования площадки.
Сохраните протокол, номер операции и ответ сервиса. В Добыто эти сведения можно прикрепить к маршруту документа.
Понадобится программа КриптоПро и её расширение для браузера. Как подписать документ
Если не знаете, какая нужна, уточните у того, кто запросил подпись.
Пришёл документ с подписью?
Проверьте, чья она и действует ли сертификат. Без регистрации.
Чек-лист перед отправкой CAdES
- Выбран правильный профиль CAdES.
- Документ не менялся после подписи.
- Сертификат подписанта найден и действителен.
- Цепочка доверия построена.
- Списки отзыва доступны.
- Timestamp проверен для CAdES-T.
- МЧД действительна и содержит нужные полномочия.
Образцы документов для работы с подписью в формате CAdES
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Памятка по настройке КЭП для налоговой | Скачать |
| Шаблон соглашения об электронном документообороте | Скачать |
| Соглашение об использовании ПЭП и НЭП | Скачать |
| Руководство пользователя Добыто КЭДО | Скачать |
| Лист ознакомления с локальными нормативными актами | Скачать |
| Приказ об утверждении локального нормативного акта | Скачать |
Хранение CAdES и доказательств проверки
Храните исходный документ, контейнер CAdES, сертификат в открытом виде, МЧД, протокол и квитанцию.
Для detached-подписи не удаляйте исходник. Для attached-контейнера сохраняйте файл целиком и не распаковывайте его для рабочей версии.
Резервную копию размещают отдельно от рабочей папки. Имена связывают с номером документа и датой отправки.
При длительном хранении контролируют timestamp и доказательства отзыва. Архивную копию не пересохраняют в офисном редакторе.
Журнал фиксирует профиль CAdES, сертификат, МЧД, программу проверки и результат. Это помогает восстановить маршрут через несколько лет.
Для каждого контейнера укажите, был ли он attached или detached. Такая отметка помогает выбрать правильный способ проверки при восстановлении.
Открытый сертификат сохраняют в формате, который читает программа проверки. Закрытый ключ в архив не помещают.
Если подпись содержит встроенные сведения об отзыве, сохраняйте контейнер целиком. Отдельная выгрузка атрибутов не заменяет исходный объект.
При миграции между системами сравнивают профиль подписи и поддерживаемые алгоритмы. Конвертация без регламента может изменить структуру CAdES.
Для судебного или внутреннего контроля записывают версию СКЗИ и дату проверки. Это объясняет, почему старый результат мог отличаться от нового.
Срок хранения определяют внутренние правила и требования к конкретному документу. Технический архив отделяют от рабочей папки операторов.
При утрате носителя немедленно сообщают в удостоверяющий центр. Отзыв сертификата защищает от дальнейшего использования ключа.
После выпуска нового сертификата обновляют карточки подписантов и МЧД. Старые записи не перезаписывают, а закрывают отдельным статусом.
Резервная проверка выполняется на изолированной копии без доступа к закрытому ключу. Оператор видит только открытые данные и результат.
Если получатель требует конкретный профиль, его название включают в заявку и внутренний чек-лист. Это снижает риск выбора неподходящего режима.
После успешной проверки зафиксируйте дату и контрольную сумму контейнера. Так архив подтверждает, какой объект отправляли.
Стоимость КЭДО
Ниже указаны тарифы КЭДО Добыто. Они относятся к кадровому электронному документообороту, а не к выпуску CAdES, МЧД, сертификата, криптопровайдеру или консультации по ФНС.
| Тариф | Стоимость | Сценарий |
|---|---|---|
| Старт | Старт — от 30 ₽/сотрудника/месяц до 25 сотрудников | Небольшая команда |
| Бизнес | Бизнес — от 50 ₽/сотрудника/месяц | Регулярный КЭДО |
| Бизнес, минимум | Бизнес — минимум 30 000 ₽/год при минимуме 50 сотрудников | Годовой договор |
| Корпорация | Корпорация — по запросу | Большой архив |
Актуальные условия смотрите на странице тарифов Добыто КЭДО. Внешний ЭДО и выпуск сертификатов оцениваются отдельно.
Выводы
Невалидный CAdES означает сбой проверки данных, сертификата, цепочки, timestamp или полномочий.
Сначала определите профиль и тип контейнера, затем проверьте файл, сертификат, отзыв и МЧД.
После любой правки формируют новую подпись и сохраняют положительный протокол отправки.
FAQ: электронная подпись CAdES не валидна
Почему CAdES не валидна после переименования файла?
Некоторые системы связывают detached-подпись с именем файла. Верните исходное имя или создайте новую подпись по правилам получателя.
Можно ли исправить CAdES архиватором?
Нет. Архиватор меняет контейнер и может повредить атрибуты, ссылки и значения доказательств.
Что делать, если не найден штамп времени?
Проверьте сервис времени, дату компьютера и настройки СКЗИ. Затем подпишите документ заново с корректным CAdES-T.
Нужна ли МЧД для CAdES?
МЧД нужна для подтверждения полномочий представителя, когда сертификат оформлен на физическое лицо и документ подписывается от имени организации.
Почему локальная проверка успешна, а сайт ФНС отклоняет подпись?
Сайт может проверять доверие к УЦ, формат контейнера, отзыв и полномочия по своим правилам. Сверьте протокол и требования страницы.
Как подтвердить, что новая подпись действительна?
Сохраните положительный протокол, квитанцию, сертификат в открытом виде и контрольную версию документа.
Мария Ж, автор более 1000 статей о цифровой подписи, КЭДО и трудовом праве: «Финальный протокол важнее отметки в интерфейсе. Он показывает, какой контейнер проверяли и какие атрибуты CAdES подтвердил получатель».
