Электронная подпись — это набор данных, который присоединяется к документу или логически связывается с ним и позволяет установить, кто подписал файл и менялся ли он после подписания. По 63-ФЗ подписей три: простая (ПЭП), усиленная неквалифицированная (УНЭП) и усиленная квалифицированная (УКЭП). Простой вы почти наверняка уже пользовались: код из SMS при входе в приложение и логин с паролем в учётной системе работодателя работают как ПЭП. Усиленная подпись состоит из трёх частей: сертификата, открытого ключа и закрытого ключа. Главное различие, от которого дальше зависит всё остальное, — где лежит закрытый ключ: в облаке удостоверяющего центра, на токене или в приложении на вашем телефоне. От этого зависят и порядок подписания, и то, что делать при утрате доступа.
Дальше разбираем, чем ПЭП отличается от УНЭП и УКЭП и какую подпись работодатель вправе требовать от вас в кадровых документах, как читать файлы с расширением .sig и .p7s, почему штамп «Подписано цифровой подписью» на PDF ничего не доказывает и что делать, если подпись перестала работать. Во второй половине статьи: машиночитаемая доверенность и её данные, разбор двух судебных дел о спорном подписании, пошаговая проверка подписи, тарифы и сроки подключения на 2026 год, ответы на частые вопросы про токены, лицензии и отзыв сертификата.
Что такое электронная подпись и из чего она состоит
Простая электронная подпись подтверждает только одно: операцию выполнил тот, кто знал логин, пароль или код из SMS. Именно поэтому ПЭП чаще всего и используют в компаниях: это учётные данные, которые у сотрудника уже есть, отдельных затрат она не требует и работает мгновенно. Расплата за удобство — слабая доказательная сила. Подтвердить, что документ не изменили после подписания и что подписание произошло именно в этот момент, простая подпись не позволяет.
Усиленная подпись устроена иначе. В ней три компонента, и каждый решает свою задачу. Сертификат — это карточка владельца: кому выдана подпись (физическому лицу или организации), кто выдал (удостоверяющий центр или Госуслуги), с какого по какое число действует. Открытый ключ — публичная часть, набор символов, доступный всем; по нему проверяют, что документ подписан именно этим сертификатом и не менялся после подписания. Закрытый ключ — секретная часть, которой формируется подпись; доступ к нему есть только у владельца.
Механизм подписания у УНЭП и УКЭП технически одинаковый, различие юридическое. УНЭП может выпустить даже сам работодатель, не будучи удостоверяющим центром. УКЭП выпускает только удостоверяющий центр, прошедший аккредитацию Минцифры и сертификацию средств у ФСБ. Руководители юрлиц и индивидуальные предприниматели получают квалифицированный сертификат в удостоверяющем центре ФНС России, остальные сотрудники как физические лица — в коммерческих аккредитованных центрах.
Мария Ж, специалист по цифровой подписи и КЭДО: «Простую подпись удобно использовать, пока речь идёт о входе в систему или подтверждении рутинной операции. Как только документ может стать предметом спора, ПЭП перестаёт работать: идентифицировать подписанта она позволяет, а подтвердить, что после подписания в файл не внесли правку, уже нет. Поэтому в кадровом документообороте работодатели переходят на усиленные подписи, а от простой оставляют только те операции, где цена ошибки невелика.»
Виды электронной подписи: ПЭП, УНЭП, УНЭП ЕСИА и УКЭП
Видов подписи формально три, но на практике сотрудник сталкивается с четырьмя вариантами: к ним добавляется УНЭП, выданная с использованием инфраструктуры электронного правительства. Такая подпись выпускается в мобильном приложении Госключ и не требует отдельного соглашения сторон о признании: доверие к ней следует из того, что владельца уже идентифицировали при подтверждении учётной записи на Госуслугах. Обычная УНЭП, выпущенная работодателем или коммерческим центром, признаётся сторонами только при наличии соглашения.
| Вид подписи | Кто выдаёт | Где хранится закрытый ключ | Что нужно сотруднику |
|---|---|---|---|
| ПЭП | Работодатель или информационная система | Отдельного ключа нет, используются учётные данные | Логин и пароль, номер телефона для кода |
| ПЭП на портале «Работа в России» | Портал через учётную запись Госуслуг | На стороне портала | Подтверждённая учётная запись на Госуслугах |
| УНЭП по соглашению сторон | Работодатель или удостоверяющий центр | Токен, компьютер или облако центра | Подписанное соглашение о признании подписи |
| УНЭП, выданная с использованием инфраструктуры электронного правительства | Приложение Госключ | На мобильном устройстве владельца | Подтверждённая учётная запись на Госуслугах |
| УКЭП | Аккредитованный удостоверяющий центр, УЦ ФНС, приложение Госключ | Токен, облако центра или мобильное устройство | Для выпуска в Госключе — биометрический загранпаспорт нового образца и телефон с NFC |
Из таблицы следует практический вывод: подпись, которую вы получите быстрее всего, и подпись, которая даст самую широкую применимость, — это разные подписи. Быстрее всего оформляется ПЭП на портале «Работа в России», шире всего применяется УКЭП, а компромисс между скоростью и юридической силой даёт УНЭП из Госключа: она выпускается в два клика при подтверждённой учётной записи и не требует соглашения сторон.
Факт: подтверждённую учётную запись на Госуслугах, без которой не выпустить подпись в Госключе, иностранный работник может получить только в МФЦ. В банке нерезиденту в подтверждении откажут.
В практике Добыто выбор подписи для сотрудников почти всегда упирается не в юридическую силу, а в парк устройств: телефоны без NFC и загранпаспорта старого образца сразу отсекают часть коллектива от УКЭП в Госключе, и для этой группы приходится закладывать другой сценарий выпуска.
Где хранится ключ и почему подпись перестаёт работать
Мест хранения закрытого ключа три, и ответственность в каждом случае распределяется по-разному. В облачном варианте ключ лежит на сервере удостоверяющего центра: подписывать можно с любого устройства, а за компрометацию ключа отвечает центр. На токене ключ хранится у вас, и за его сохранность отвечаете вы. В Госключе закрытая часть находится на вашем телефоне: доступа к ней нет ни у Минцифры, ни у госслужб, ни у работодателя.
У ключей на токене есть различие, о котором сотрудники обычно не знают, а оно определяет, можно ли скопировать подпись. Программные ключи генерирует криптопровайдер, и при подписании закрытый ключ ненадолго выгружается в оперативную память компьютера: такие ключи называют извлекаемыми, а токен работает как защищённое пин-кодом хранилище. Аппаратные ключи генерируются внутри криптоядра самого токена и никогда его не покидают, поэтому скопировать их нельзя. Для извлекаемых ключей достаточно, чтобы носитель был сертифицирован ФСТЭК; если подпись формируется на борту токена, устройству нужна сертификация ФСБ, иначе подпись не будет считаться квалифицированной.
Внимание: если вы удалили приложение Госключ или забыли пароль от него, восстановить прежнюю подпись нельзя: другого доступа к ключу не существует. Придётся выпускать новую подпись, и это будет уже иной сертификат со своим сроком действия.
Вторая частая причина отказа — разрыв цепочки сертификатов. У квалифицированной подписи цепочка выстроена от Минцифры к аккредитованному удостоверяющему центру и дальше к вашему сертификату, и корневые сертификаты обычно ставятся автоматически при выпуске. У неквалифицированной подписи такого доверия по умолчанию нет: система не обязана доверять сертификату, который вы принесли на флешке. Отсюда и сообщение криптопровайдера о том, что корневой сертификат не найден.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Лайфхак: когда подписание срывается из-за ненайденного корневого сертификата, откройте сертификат двойным щелчком и проверьте всю цепочку издателей. Установку доверенного сертификата стоит выполнять осознанно: после неё система будет доверять этому издателю постоянно.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Сотрудники относятся к подписи как к обычному приложению: переставил телефон, поменял пароль, почистил компьютер. С Госключом так не работает — закрытая часть живёт на устройстве, и после переустановки нужен новый выпуск. Перед сменой телефона или переустановкой приложения проверьте, не висит ли на вас неподписанный пакет документов: спокойнее сначала закрыть подписание, а потом переносить приложение.»
Проверьте, что за подпись стоит на вашем документе
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Как выглядит подписанный файл: присоединённая подпись, .sig и .p7s
Подписать документ можно двумя способами, и от выбора зависит, сколько файлов вы будете хранить и пересылать. При присоединённой подписи результат подписания упаковывается в один файл: потерять подпись отдельно от документа невозможно, но открыть исходный документ без специальной программы не получится. При открепленной подписи рядом с документом появляется отдельный файл подписи, чаще всего с расширением .sig; сам документ открывается как обычно, но для проверки нужно передавать оба файла сразу.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Почему расширение бывает .p7s, а бывает .sig
Расширение файла подписи задаёт программа, которой подписывали. В настройках инструментов КриптоПро расширение выбирается из списка: p7s, sig или sgn, там же указывается формат подписи CAdES-BES. Содержимое от расширения не меняется, поэтому файл с непривычным расширением не повод считать подпись сломанной: важно, чтобы проверяющая программа получила и документ, и файл подписи.
Штамп на PDF и юридическая сила
Синий штамп «Подписано цифровой подписью» с датой и номером сертификата — это визуализация для человека. Юридического значения он не имеет: доказательством служат исходный файл и файл подписи. Проверять по картинке бессмысленно, её можно нарисовать в любом редакторе.
Мария Ж, судебный эксперт по трудовому праву: «Когда спор доходит до суда, распечатка со штампом не работает. Выгружайте архив: сам документ в исходном виде, файлы подписи и данные сертификата. Если у вас на руках только PDF с картинкой подписи, подтвердить авторство и неизменность документа будет нечем.»
Как проверить электронную подпись на документе: пошаговая инструкция
- Шаг 1. Определите вид подписи. Если рядом с документом лежит отдельный файл .sig, .p7s или .sgn, подпись открепленная. Если файл один и обычной программой он не открывается, подпись присоединённая.
- Шаг 2. Соберите комплект. Для открепленной подписи нужны оба файла, причём именно тот экземпляр документа, который подписывали: пересохранение или конвертация ломают проверку.
- Шаг 3. Загрузите файлы в проверяющую программу или онлайн-сервис проверки и запустите проверку.
- Шаг 4. Прочитайте данные сертификата: кому выдан, кем выдан, срок действия, статус. Отозванный сертификат проверка покажет отдельным сообщением.
- Шаг 5. Посмотрите, есть ли штамп времени. Без него момент подписания подтверждается только косвенными данными вроде журналов входа и действий в системе.
- Шаг 6. Сохраните результат проверки. Протокол проверки пригодится, если документ придётся предъявлять контрагенту или в суде.
Важный нюанс из практики: сертификат обычно действует год, а спор по документу может возникнуть позже. Чтобы подтвердить, что подпись ставилась в период действия сертификата и он не был отозван, используют усовершенствованный формат подписи: к ней добавляются штамп времени от доверенной службы и ответы службы проверки статуса сертификата. Службы штампа времени есть у удостоверяющих центров и у налоговой службы, в Госключе штампа времени нет.
Образцы документов по работе с электронной подписью
Комплект для тех случаев, когда подпись уже поставлена и что-то пошло не так; начните с чек-листа диагностики.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Машиночитаемая доверенность: образец и структура XML | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Акт об отказе от подписания и уведомление второй стороне | Скачать |
Электронная подпись в кадровых документах: что подписывает работник
В кадровом документообороте у сотрудника два типовых сценария. Первый — портал «Работа в России», где вы подписываете документы простой электронной подписью через подтверждённую учётную запись Госуслуг, а сверху документ дополнительно заверяется усиленной подписью Федеральной службы по труду и занятости. В выгруженном архиве вы увидите сам документ, подтверждение подписания и файл, который доказывает, что после подписания документ не менялся. Второй сценарий — система КЭДО работодателя, где документ идёт по маршруту согласования и подписывается в интерфейсе кнопкой.
Механика в системе КЭДО выглядит так же, как в Добыто: документ создаётся из шаблона или загружается файлом, ему назначается маршрут согласования и подписания, участники получают уведомление, а после подписания документ уходит в архив, откуда его можно скачать на своё устройство в любой момент. Право подписи конкретного типа документов настраивается заранее, поэтому подписать приказ, который не отнесён к вашей роли, технически не выйдет.
Важный нюанс из практики: суды разбирают такие споры не по штампам, а по комплекту доказательств. В деле с крупным банком работник заявил, что не подписывал соглашение об увольнении своей УНЭП на токене, который хранился в сейфе. Суд изучил локальные акты о переходе на КЭДО, действие сертификата на момент подписания и то, тот ли документ передавался на подписание, и признал увольнение незаконным, взыскав компенсацию в пользу работника. Во втором деле работник розничной сети подписал заявление об увольнении по собственному желанию, будучи уверенным, что подписывает заявление по больничному; суд восстановил его в должности и взыскал средний заработок и компенсацию морального вреда.
Отсюда практическое правило для сотрудника: читайте документ до нажатия кнопки «Подписать», а не после. Электронная подпись мгновенна, а её отмена требует суда. В Добыто перед подписанием документ открывается целиком, а к каждому шагу маршрута сохраняются статус и комментарий участника, так что видно, кто и на каком этапе документ уже обработал.
Если вы читаете этот раздел как работодатель и понимаете, что порядок подписания у вас держится на устных договорённостях, начинать нужно не с закупки подписей, а с локального акта о переходе на КЭДО и согласий работников: именно эти документы суд смотрит первыми.
Данные МЧД: когда подписи сотрудника недостаточно
С 1 сентября 2023 года закончился переходный период, и сертификаты, выданные на сотрудника с указанием организации и должности, больше не выпускают. Сегодня документ от имени компании подписывает либо руководитель своей квалифицированной подписью, либо сотрудник подписью физического лица с приложением машиночитаемой доверенности. МЧД — это XML-файл: его можно скачать и в PDF, но работает именно машиночитаемый формат, потому что проверяют доверенность алгоритмы, а не человек.
Данные, которые попадают в МЧД: сведения о доверителе, сведения о доверенном лице как о физическом лице, срок и перечень полномочий. Полномочия берутся из классификатора, размещённого в Единой системе нормативной и справочной информации: у каждого полномочия есть код, дата и уникальный идентификационный номер, и именно код включается в доверенность. Компания вправе направить свой перечень полномочий в Минцифры: решение о включении принимают в течение 10 дней, после положительного решения на присвоение кодов и включение в классификатор отводится 3 рабочих дня. Пока классификатор наполняется, полномочия допускается вписывать вручную.
Самый ходовой сценарий — доверенность для налоговых действий, и для него у ФНС есть единое хранилище машиночитаемых доверенностей: там доверенность формируется, скачивается в виде XML-файла и дальше прикладывается к документам, которые подписывает сотрудник. Ограничение сервиса в том, что доверенности из него рассчитаны на взаимодействие с налоговой.
Отдельный вопрос — передоверие, например когда полномочия передаются сотруднику филиала. Здесь без нотариуса не обойтись: нужны паспорт нового уполномоченного лица и актуальная выписка из ЕГРЮЛ, нотариус формирует новую доверенность, подписывает своей квалифицированной подписью и выгружает в информационную систему. Техническая оснащённость нотариусов различается, и в небольших городах это может занять больше времени, чем вы рассчитываете.
Важный нюанс из практики: при увольнении подпись физического лица остаётся действующей, а доверенность, в которой должность не указана, формально продолжает работать. Ключ, записанный в реестр рабочего компьютера, никуда не исчезает после удаления профиля. Отозвать сертификат может только владелец, обратившись с заявлением в тот удостоверяющий центр, где подпись выпускалась.
Мария Ж, HR-эксперт с 13-летним стажем: «При увольнении сотрудники забывают про свою подпись, а зря: удаление ключа из реестра компьютера не равно отзыву сертификата. Заявление на отзыв подаётся в тот удостоверяющий центр, который выдал подпись, и подать его заинтересован сам владелец. Заодно проверьте, какие машиночитаемые доверенности были на вас оформлены и на какой срок они выданы.»
Когда электронная подпись не нужна и когда УКЭП избыточна
Не каждый документ нужно переводить в электронный вид, и не под каждую задачу нужна квалифицированная подпись. Часть кадровых документов по статье 22.3 ТК РФ остаётся на бумаге: трудовая книжка и сведения о трудовой деятельности, акт о несчастном случае на производстве, приказ об увольнении, документы, подтверждающие прохождение инструктажей по охране труда. Электронная подпись их не заменяет.
Квалифицированная подпись избыточна там, где стороны и так признают друг друга: для внутренних заявок, служебных записок и подтверждения ознакомления с внутренними документами хватает простой подписи в корпоративной системе. Для взаимодействия с работодателем достаточно УНЭП из Госключа, и покупать для этого токен работнику не нужно. Токен с квалифицированной подписью имеет смысл, когда вы подписываете документы от имени организации во внешних системах, отчитываетесь в госорганы или работаете с системами, которые требуют определённого формата ключей.
Цена ошибки в выборе считается не стоимостью подписи, а стоимостью спора. Оба судебных дела выше закончились восстановлением работника или взысканием компенсации, то есть выплатой среднего заработка за период разбирательства плюс судебные издержки. Экономия на настройке порядка подписания и хранения подтверждений оборачивается суммами, несопоставимыми с абонентской платой за систему.
Полезно знать: иметь две действующие подписи на одно физическое лицо не запрещено. Подпись на токене и подпись, записанная в реестр компьютера, работают параллельно и не отменяют друг друга.
Стоимость подключения КЭДО и электронных подписей для сотрудников
Стоимость зависит от численности сотрудников и набора функций: тариф определяет, какие виды подписи доступны, есть ли интеграция с 1С и электронный архив.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 руб. за сотрудника в месяц | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, кастомные шаблоны | от 50 руб. за сотрудника в месяц, минимальная оплата 50 сотрудников за 30 000 руб. в год | подключение за 5 минут |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск ПЭП и УНЭП для сотрудников | входит в тариф, отдельно не оплачивается | по запросу |
| Получение УКЭП через партнёров-удостоверяющих центров | по запросу | по запросу |
| Готовый модуль интеграции с 1С:ЗУП | входит в тариф «Бизнес» | установка и настройка за 1 день |
| Электронный архив документов | входит в тариф «Бизнес» | по запросу |
Итоговая сумма складывается из численности и выбранного тарифа: на «Бизнесе» действует минимальная оплата за 50 сотрудников, поэтому компаниям до 25 человек выгоднее «Старт». Полный состав тарифов и условий перехода между ними приведён на странице тарифов ДОБЫТО КЭДО; тариф можно повысить или понизить в любое время, а при повышении разница пересчитывается пропорционально оставшемуся периоду.
Отдельная строка расходов на электронные подписи для сотрудников в этой схеме не появляется: ПЭП и УНЭП выпускаются бесплатно на всех тарифах, а квалифицированная подпись оформляется через партнёров-удостоверяющих центров.
Выводы
Электронная подпись работает не как картинка на документе, а как связка сертификата, открытого и закрытого ключей. Различие между ПЭП, УНЭП и УКЭП определяет, что вы сможете доказать, а место хранения закрытого ключа — что делать при утрате доступа и как быстро вы вернётесь к работе. Подписанный документ существует комплектом: сам файл, файл подписи, данные сертификата и, если он есть, штамп времени. Именно этот комплект имеет значение в споре.
Мы в Добыто подключаем сотрудникам ПЭП и УНЭП внутри тарифа и настраиваем маршруты подписания так, чтобы работник видел, какой документ и в каком статусе от него ждут, а подписанные файлы вместе с подтверждениями оставались в электронном архиве и выгружались по первому запросу.
Частые вопросы
Можно ли иметь две электронные подписи одновременно
Да, это не запрещено. Например, у сотрудника может быть подпись на токене и подпись, записанная в реестр рабочего компьютера, и обе будут действующими. Важно понимать, какой именно подписью вы подписываете конкретный документ: если документ подписывается с машиночитаемой доверенностью, использовать нужно ту подпись, данные которой указаны в доверенности.
Сколько сертификатов помещается на один токен
У современных моделей объём защищённой памяти составляет 128 килобайт. При программных извлекаемых ключах на токен помещается порядка 31 контейнера, но точное число зависит от содержимого сертификата: у объёмного контейнера с дополнительными расширениями и цепочками размер доходит примерно до 12 килобайт, у минимального — до нескольких сотен байт.
Нужно ли отдельно покупать лицензию КриптоПро CSP
Встроенная криптография токена и программный криптопровайдер — разные вещи: если информационная система требует криптопровайдер, его нужно установить на компьютер и ввести лицензию. Для сертификатов, выданных удостоверяющим центром ФНС, лицензия вшивается в сертификат и действует столько же, сколько сам сертификат. Полная лицензия нужна, если вы сами формируете запросы на сертификат или используете ключи, в которые лицензия не включена; для ознакомления доступен тестовый период на 3 месяца после установки провайдера.
Что делать, если сертификат уже истёк, а подпись нужно подтвердить
Смотрите на формат подписи. Усовершенствованная подпись содержит штамп времени от доверенной службы и ответы службы проверки статуса сертификата, поэтому подтверждает и момент подписания, и то, что сертификат не был отозван. Если штампа времени нет, момент подписания подтверждают косвенно: журналами входа в систему и записями действий пользователя.
Может ли получить электронную подпись иностранный работник
Да, при наличии подтверждённой учётной записи на Госуслугах. Нюанс в порядке подтверждения: нерезиденту подтвердят учётную запись в МФЦ, а в банке в подтверждении откажут. После этого доступен выпуск подписи в приложении Госключ и подписание кадровых документов на общих основаниях.
Чем облачная подпись отличается от подписи на токене
У облачной подписи закрытый ключ хранится на сервере удостоверяющего центра, поэтому подписывать можно с любого устройства, а ответственность за компрометацию ключа лежит на центре. Ограничение в том, что облачную подпись получится использовать только в сервисах, куда интегрировано программное обеспечение этого центра. Подпись на токене работает автономно, но требует установленного криптопровайдера и физического носителя под рукой.
