Файл открепленной электронной подписи: .sig, формат, как использовать

Файл открепленной электронной подписи — отдельный sig-файл рядом с основным документом, в котором хранится сама подпись по стандарту PKCS#7. Без понимания, как этот файл создаётся, чем .sig отличается от .p7s и как его правильно открыть, легко получить отказ при подаче в суд, провалить участие в торгах или подписать кадровый документ так, что его потом не примет ГИТ. Разберём формат файла, расширения, способы создания через КриптоПро и КриптоАРМ, проверку sig-файла онлайн и практику применения открепленной подписи в КЭДО и закупках. Это часть большого раздела про проверку подписи, где описана работа с файлами подписей и сертификатами.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Что такое файл открепленной электронной подписи

Открепленная электронная подпись физически существует как отдельный файл, который лежит рядом с подписанным документом. То есть документ остаётся неизменным — PDF остаётся PDF, Word остаётся Word, картинка картинкой. А подпись формируется в виде бинарного контейнера и сохраняется в файл с расширением .sig (чаще всего), .sgn или .p7s. На выходе у вас на руках всегда два файла: исходный документ и файлик подписи.

Внутри этого второго файла зашит криптографический контейнер по стандарту PKCS#7 (в современной редакции называется CMS — Cryptographic Message Syntax). В контейнере лежит хеш документа, зашифрованный закрытым ключом подписанта, сертификат с открытым ключом, метаданные о подписи и время её создания. Когда проверяющая сторона запускает проверку, программа берёт документ, вычисляет от него хеш заново, расшифровывает хеш из подписи и сравнивает. Совпало — подпись действительна. Любая правка в документе после подписания, даже изменение одного байта, сделает подпись недействительной.

В законе 63-ФЗ «Об электронной подписи» определение электронной подписи прямо упоминает информацию, которая «присоединена к другой информации в электронной форме или иным образом связана с такой информацией». Эта формулировка как раз и описывает два варианта: присоединённую и открепленную подпись. Контейнер PKCS#7 закреплён в международных стандартах RFC 5652 и RFC 2315, так что российские средства подписи работают с теми же файлами, что и зарубежные.

За время работы сервиса Добыто мы видели сотни случаев, когда юрист или кадровик не понимал, какая именно подпись лежит у него в архиве — открепленная или присоединённая — и из-за этого терял время на восстановление подписи или переподписание документа. По нашей статистике, в каждом третьем обращении в техподдержку причина именно в путанице между типами подписи и расширением файла.

Проверка электронной подписи онлайн — сервис Добыто

Проверка электронной подписи

Загрузите файл подписи или пару файлов для открепленной подписи.
Сервис проверит целостность подписи и покажет сведения о сертификате.

1 Выберите тип подписи:

Для присоединенной подписи нужен один файл. Для открепленной проверки требуются документ и файл подписи.

2 Загрузите документ и подпись:

Документ

Перетащите или выберите файл

Файл подписи

Перетащите или выберите файл

Нажимая кнопку «Проверить подпись», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

ОтправитьОтправить

Расширения файла подписи: .sig, .p7s, .sgn и другие

Здесь часто возникает каша. Расширений несколько, программы по-разному их называют, а формат внутри в большинстве случаев один и тот же. Разложим по полочкам.

.sig — наиболее распространённое расширение в российской практике. Его формируют КриптоАРМ ГОСТ, КриптоПро Cades, инструменты «КриптоПро Sharpei», большинство онлайн-сервисов подписания. Внутри — PKCS#7. Если вам прислали файл с расширением .sig, в 99% случаев это PKCS#7-контейнер.

.p7s — международное стандартное расширение для PKCS#7-подписи. В России встречается реже, но поддерживается всеми проверяющими сервисами. Сам файл идентичен .sig, отличается только расширение. Часто такие файлы приходят из заграничных систем или из приложений, использующих BouncyCastle.

.sgn — расширение, которое раньше выдавал Saby Crypto (бывший СБИС), некоторые модули 1С. По содержимому — тот же PKCS#7. Если ваш сервис не принимает .sgn, переименуйте файл в .sig — этого почти всегда хватает.

.pkcs7 — буквально полное название стандарта в виде расширения. Встречается редко, но принимается большинством сервисов проверки.

.cades, .xades — усовершенствованные форматы CAdES (PKCS#7 с метками времени) и XAdES (XML-подпись). Используются для архивного хранения документов, чтобы подпись оставалась проверяемой через 10-15 лет, даже после истечения срока действия сертификата подписанта. Для большинства бытовых задач не нужны.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Часто слышу от клиентов: «У меня файл .p7s, а портал не принимает». Проверяем — формат внутри такой же, как у .sig. Просто ленивые валидаторы привязаны к расширению. Грабли тут одни: не пугайтесь незнакомого расширения, переименуйте файл в .sig и проверьте. Если содержимое правильное — подпись пройдёт. Денюжки и время сжигаются именно на этой ерунде.»

Важный нюанс с PDF. Иногда подпись прячется внутри PDF-документа как встроенная (так делает Adobe Acrobat). В этом случае никакого отдельного sig-файла нет — подпись «вшита» в сам PDF. Это уже не открепленная, а встроенная подпись. Для проверки её открывают тем же Adobe или специализированным сервисом. Если вы видите PDF без сопровождающего .sig, скорее всего подпись либо встроена в PDF, либо документ не подписан вовсе.

Открепленная и присоединённая подпись: в чём разница

Есть два способа упаковать электронную подпись по 63-ФЗ. Принципиальная разница — в том, лежит ли подпись отдельно от документа или внутри него.

Открепленная (отсоединённая, detached). Документ + файл подписи рядом. Документ можно открывать и читать любой программой — это обычный PDF, DOCX, JPG. Подпись хранится отдельно, проверяется отдельной программой. Если файл подписи потерялся — подпись теряется, документ остаётся.

Присоединённая (attached, enveloped). Документ и подпись в одном файле. Открыть такой файл стандартным способом (Word, просмотрщик PDF) уже не получится — вы увидите либо «кашу», либо контейнер sig, в котором документ зашит внутрь. Чтобы прочитать сам документ, нужно «распаковать» подпись через КриптоАРМ или аналогичный софт.

Когда использовать какую? Открепленная подпись — стандарт для подачи документов в государственные системы. «Мой Арбитр», ГАС «Правосудие», Госуслуги, ФНС, портал госзакупок — все требуют именно открепленный sig-файл рядом с документом. Это закреплено в нормативах: например, приказ Судебного департамента при ВС РФ от 28.12.2016 № 252 прямо называет PKCS#7 и отсоединённую подпись.

Присоединённая подпись удобнее во внутреннем документообороте, когда документ передаётся целиком вместе с подписью и риск что-то потерять минимальный. В кадровом ЭДО Добыто мы по умолчанию формируем именно открепленную подпись — такой формат принимают все надзорные органы, и при проверке ГИТ кадровик быстро отдаёт инспектору пару файлов: документ + .sig, без танцев с бубном.

Как создать файл открепленной электронной подписи

Создать sig-файл можно несколькими способами. Все они требуют, чтобы у подписанта были средство криптографической защиты информации (СКЗИ) — чаще всего КриптоПро CSP, действующий сертификат электронной подписи и носитель ключа (Рутокен, JaCarta или ключ в реестре). Без СКЗИ ни одна программа подписи не сработает, даже если у вас на руках сертификат.

Создание подписи через КриптоАРМ ГОСТ

КриптоАРМ — десктопная программа для работы с электронной подписью. Запускаете «Подписание файлов», добавляете нужный документ, в настройках выбираете кодировку (DER или BASE64 — для большинства задач DER), и тут же ставите галочку «Сохранить подпись в отдельном файле». Это и есть открепленная подпись. Затем выбираете сертификат, нажимаете «Подписать», вводите PIN-код токена. На выходе — файл с расширением .sig рядом с исходным документом.

Если в КриптоАРМ галочку «Сохранить подпись в отдельном файле» не поставить, программа создаст присоединённую подпись и обернёт документ в .sig целиком. Это типичный косяк: думаешь, что сделал нормальную открепленную, а на деле получил присоединённую. Для арбитража или госзакупок это сразу отказ.

Создание подписи через КриптоПро Cades

В дистрибутиве КриптоПро есть утилита «Инструменты КриптоПро» (CryptoPro Tools), там вкладка «Создание подписи». Алгоритм почти такой же, как в КриптоАРМ: указать файл, выбрать сертификат, обязательно установить флаг «Сохранить подпись в отдельном файле», нажать «Подписать файл». Файл .sig появится в той же папке, что и документ.

В настройках можно дополнительно выбрать улучшенный формат подписи — CAdES-T (с меткой времени) или CAdES-X Long Type 1 (с архивной меткой). Эти варианты используются для документов, которые должны храниться годами и сохранять юридическую значимость даже после истечения срока действия сертификата подписанта.

Создание подписи онлайн без установки программ

Если КриптоАРМ или КриптоПро ставить не хочется (например, на одном компьютере подписать нужно один раз), можно использовать онлайн-сервисы. У них есть нюанс: для работы с УКЭП всё равно нужен плагин КриптоПро Browser plug-in в браузере и установленный CSP — сами по себе сайты ваши ключи не увидят. Но интерфейс становится намного дружелюбнее: загрузил документ, выбрал тип подписи (откреплённая), выбрал сертификат, ввёл PIN, получил файл .sig.

Готовая подписка через сервис Добыто

1 Загрузите необходимые файлы:

Перетащите или выберите файл

2 Выберите электронную подпись:

Отправить

Отправить

Нажимая кнопку «Подписать», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных.

Создание открепленной подписи: пошаговая инструкция

Как открыть и проверить файл открепленной подписи

Открыть .sig файл стандартными средствами Windows нельзя — это бинарный контейнер, не текст и не картинка. Двойной клик в проводнике приводит к окну «Чем открыть?» с предложением выбрать программу. Это пугает многих пользователей, но на деле от sig-файла не нужно ничего «открывать» в привычном смысле. Подпись — это техническая обёртка, которая работает в проверяющей программе или сервисе.

Для просмотра содержимого подписи (кто подписал, когда, какой сертификат) и проверки целостности используют четыре базовых способа.

Госуслуги. Бесплатный сервис проверки подписи и сертификата. Загружаете оба файла — документ и .sig, ставите галочку «Я не робот», получаете результат с данными подписанта, удостоверяющего центра, временем подписания. Подходит для разовых проверок, ограничения по типам и весу файлов есть. Сайт gosuslugi.ru/eds — официальный государственный сервис проверки.

Контур.Крипто. Веб-сервис от СКБ Контур. Принимает .sig, .sgn, .sign файлы. Также работает через КриптоПро Browser plug-in. Удобен тем, что показывает развёрнутую информацию о цепочке сертификации.

КриптоАРМ. Десктопное приложение. Открываете «Проверка подписи», добавляете оба файла, программа выводит подробный отчёт. Хорошо подходит для массовой проверки в офисе.

Сервис Добыто.Подпись. Онлайн-сервис проверки в браузере, без установки программ и регистрации. Загружаете документ и .sig — получаете статус подписи, данные владельца, удостоверяющий центр и срок действия сертификата.

Мария Ж, судебный эксперт по трудовому праву:
«Проверяю подписи каждый день, работая по делам о признании увольнений незаконными. Нюанс в том, что суд требует не просто подтверждения подписи, а печатной формы протокола проверки с реквизитами сертификата. Бумажечка с зелёным замочком на экране — это не доказательство. Скачайте PDF-отчёт из проверяющего сервиса, распечатайте, приобщайте к делу.»

Где применяется файл открепленной подписи

На практике открепленный sig-файл — рабочая лошадка любой государственной информационной системы. Перечислю основные сценарии.

Подача документов в арбитражные суды через «Мой Арбитр». Только PKCS#7, только отсоединённая подпись, только УКЭП. Подписали неправильно — суд возвращает заявление без рассмотрения. Уходит время, подача может опоздать к процессуальному сроку.

ГАС «Правосудие». Подача документов в суды общей юрисдикции. Те же требования — открепленная УКЭП в .sig.

Госзакупки 44-ФЗ и 223-ФЗ. Площадки ЕИС, Сбербанк-АСТ, РТС-тендер, ZakazRF принимают заявки участников, подписанные открепленной УКЭП. Шаг-два неправильно — заявка не принимается, и в торгах вы уже не участвуете.

ФНС и отчётность через операторов. Декларации, расчёты по страховым взносам, формы статистики уходят с открепленной подписью. Оператор ЭДО (Контур, Тензор, Калуга) сам формирует sig-файл при отправке.

Кадровый электронный документооборот. Системы КЭДО (Добыто, 1С:КС, Кадровый ЭДО) подписывают трудовые договоры, приказы, заявления на отпуск открепленной подписью и хранят .sig вместе с документом. При проверке ГИТ кадровик отдаёт инспектору пакет: документ + sig-файл, тот проверяет через свой сервис и видит юридическую значимость.

Документооборот с контрагентами через ЭДО. Диадок, СБИС, 1С-ЭДО — тут чаще присоединённая подпись, но открепленная тоже встречается, особенно при выгрузке архива.

Образцы кадровых документов, к которым формируется sig-файл

Госключ и открепленная подпись

Отдельный сценарий — подписание через мобильное приложение Госключ. После подписания документа в Госключе сотрудник получает в ленту уведомлений Госуслуг два файла: исходный документ и .sig — файл открепленной подписи, выпущенный в виде УНЭП или УКЭП. Эти же файлы получает информационная система работодателя (например, КЭДО Добыто), куда сотрудник изначально загружал документы для подписания.

В одном пакете через Госключ можно отправить на подпись до 50 файлов разных форматов — PDF, XML и других. Госключ возвращает свой sig-файл для каждого направленного документа отдельно. Это удобно при массовой рассылке ЛНА: например, при ознакомлении 200 сотрудников с новым положением о коммерческой тайне на каждый акт ознакомления формируется отдельная открепленная подпись.

Важно понимать разделение: Госключ — это инструмент подписания, а не архив. Подписанные документы и sig-файлы должны храниться в информационной системе инициатора подписания (работодателя). Если у вас sig-файл потерялся в КЭДО, восстановить его из Госключа на стороне сотрудника технически возможно (он лежит в ленте уведомлений), но это уже ручной процесс.

Типичные ошибки при работе с файлом открепленной подписи

За годы консультаций по КЭДО и ЭП накопился список граблей, на которые наступают регулярно. Перечислю те, что встречаются чаще всего.

Ошибка 1. Перепутали тип подписи в КриптоАРМ. Не поставили галочку «Сохранить подпись в отдельном файле» — получили присоединённую вместо открепленной. Документ при загрузке в «Мой Арбитр» или ЕИС не принимается. Цена ошибки: переподписать заново (10-15 минут), но если процессуальный срок горит — получаем срыв подачи и риски пропуска срока обжалования.

Ошибка 2. Изменили документ после подписания. Открыли PDF, что-то поправили, сохранили. Хеш документа сменился — sig-файл стал недействителен. Проверка возвращает «подпись не подтверждена». Цена ошибки: переподписать заново, и так до тех пор, пока документ не «застынет».

Ошибка 3. Отправили только sig-файл без документа. Получатель не может проверить подпись — ему нужен исходный документ для сравнения хешей. Цена ошибки: дополнительные пересылки и потеря времени на разбор. В практике сервиса Добыто такие обращения приходят регулярно, особенно от компаний без КЭДО, где документы пересылают вручную по почте.

Ошибка 4. Потеряли sig-файл. Документ есть, подписи нет. Восстановить можно, только если есть резервная копия или исходник в системе подписания. Цена ошибки: документ становится неподписанным, юридическая значимость теряется.

Ошибка 5. Подписали УКЭП от старого сертификата. Сертификат истёк, но программа подписи не предупредила (или предупредила, а человек не обратил внимания). Sig-файл сформировался, но при проверке выдаёт «сертификат недействителен». Цена ошибки: переподписать актуальной УКЭП, по 63-ФЗ продление не работает — только новый сертификат.

Ошибка 6. Используют ПЭП там, где нужна УКЭП. Открепленная подпись теоретически может быть и неквалифицированной (НЭП), и квалифицированной (УКЭП). Но для большинства государственных систем нужна именно УКЭП. ПЭП в виде sig-файла не оформляется в принципе — это просто подтверждение через логин/пароль или СМС.

Стоимость подключения сервиса Добыто КЭДО для работы с открепленной подписью

Если в компании регулярно формируются sig-файлы для кадровых документов, удобнее всего использовать систему КЭДО, которая берёт на себя всю криптографическую обвязку. Стоимость зависит от численности сотрудников, выбранного тарифа и набора функций — от базовых шаблонов и email-поддержки до полной интеграции с 1С и приоритетного SLA.

Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться точнее. Для компаний от 100 человек обычно подходит тариф Бизнес с интеграцией с 1С:ЗУП — этого хватает на полный кадровый цикл, включая автоматическое формирование sig-файлов для всех кадровых документов.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«Считать стоимость работы с открепленной подписью только по тарифу КЭДО — это половина истории. Мы закладываем в расчёт ещё стоимость токенов и УКЭП, если она нужна для генерального директора и подписантов. Денежки тут небольшие, по 1500-2500 ₽ за токен, плюс 1000-3000 ₽ за сертификат. Но если у вас 5 подписантов — складывается ощутимая сумма, а кадровикам это часто не закладывают в бюджет.»

Архивное хранение sig-файлов и продление подписи

Электронная подпись имеет срок действия — сертификат, как правило, выдаётся на 12-15 месяцев. Через год документ, подписанный год назад открепленной УКЭП, технически остаётся подписанным, но при проверке через стандартный сервис вы увидите «сертификат подписанта истёк». Для большинства бытовых задач это не критично (документ был подписан в момент действия сертификата). Для архивного хранения — проблема.

Решение — использование форматов CAdES-T (с меткой времени) и CAdES-X Long Type 1, которые добавляют в sig-файл штамп времени от службы Time Stamping Authority и подтверждение действительности сертификата на момент подписания. Такая подпись остаётся проверяемой 10-15 лет даже после смены криптоалгоритмов.

На практике в КЭДО Добыто мы используем CAdES-T по умолчанию для всех документов, которые по приказу Росархива должны храниться 50 и более лет: трудовые договоры, приказы о приёме и увольнении, личные карточки. Кадровые документы со сроком хранения до 5 лет (например, графики отпусков) подписываем стандартным CAdES-BES — это хватает.

Выводы: ключевое о файле открепленной электронной подписи

Файл открепленной электронной подписи — это отдельный sig-файл рядом с документом, в котором по стандарту PKCS#7 хранится сама подпись. Расширения встречаются разные — .sig, .p7s, .sgn, реже .pkcs7 — но содержимое внутри одинаковое. Чтобы документ имел юридическую силу, sig-файл должен передаваться вместе с исходным документом, не должен быть подменён, а сертификат подписанта — действовал на момент подписания. Изменили документ после подписи — подпись становится недействительной.

На практике открепленная подпись нужна везде, где документы уходят в государственные системы: суды через «Мой Арбитр» и ГАС «Правосудие», госзакупки на ЕИС и Сбербанк-АСТ, ФНС, портал Госуслуг, КЭДО при проверках ГИТ. Создание sig-файла делается через КриптоАРМ, КриптоПро, онлайн-сервисы или мобильное приложение Госключ — принципиально важно при подписании выбрать именно «отдельный файл подписи», а не присоединённую. Проверка — через Госуслуги, Контур.Крипто, КриптоАРМ или сервис Добыто.Подпись с печатью протокола.

На горизонте 2026-2027 годов ожидать снижения роли открепленной подписи не стоит. Госключ масштабирует УНЭП, ФНС переходит на новые криптоалгоритмы ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012, форматы PKCS#7 и CAdES остаются базовыми для государственных систем. Кто умеет работать с sig-файлом сейчас, тот будет уверенно работать и через пять лет. Кто откладывает разбор формата — продолжит сжигать время на форматных ошибках.

Часто задаваемые вопросы