Изменить данные в уже действующем сертификате электронной подписи нельзя ни через КриптоПро CSP, ни через панель управления токена, ни по заявке в удостоверяющий центр. Сертификат — это подписанный удостоверяющим центром объект X.509: правка любого байта в полях владельца ломает подпись УЦ, и при проверке подписи вы получите ошибку цепочки доверия. Данные меняют только перевыпуском: УЦ выдаёт новый сертификат, а действие старого прекращается по заявлению владельца, и запись об этом вносится в реестр в течение 12 часов. Развилка одна. Изменились данные физлица (ФИО, СНИЛС, паспортные данные) — нужен новый сертификат. Изменились должность, наименование юрлица или филиал — меняется машиночитаемая доверенность, а сертификат остаётся прежним.
Разберём, какие поля вообще есть в сертификате и какие из них после 1 сентября 2023 года переехали в МЧД. Покажем порядок перевыпуска и гашения старого сертификата, что делать с уже подписанными файлами p7s и sig, в каких случаях переподписывать документы не нужно, и как записать новый контейнер на носитель, не потеряв старые. Чек-лист рабочего места, журнал учёта сертификатов, стоимость и ответы на частые вопросы — во второй половине статьи.
Почему выпущенный сертификат физически нельзя отредактировать
Файл сертификата состоит из двух частей: тела с данными (tbsCertificate) и подписи удостоверяющего центра поверх хэша этого тела. Когда криптопровайдер проверяет сертификат, он заново считает хэш тела по ГОСТ Р 34.11-2012 и сверяет его с расшифрованной подписью УЦ. Замена одной буквы в фамилии владельца меняет хэш, подпись УЦ перестаёт сходиться, и любой валидатор — КриптоПро CSP, КриптоАРМ, портал Госуслуг — помечает сертификат как недоверенный. Это не запрет регламента, а свойство конструкции: сертификат неизменяем по замыслу, иначе он не мог бы ничего удостоверять.
Отсюда следствие для администратора: задачи «поправить данные» не существует, существует задача «выпустить новый сертификат и погасить старый». Второй шаг забывают чаще первого, и тогда в инфраструктуре одновременно живут два действующих сертификата на одного человека с разными данными.
Поля, которые чаще всего просят «поправить», распределены по сертификату неравномерно: часть из них относится к субъекту, часть к издателю, часть к криптографии. Перед обращением в УЦ полезно понимать, что именно вы собираетесь менять.
| Поле сертификата | Что в нём лежит | Как меняется |
|---|---|---|
| Субъект (Subject) | ФИО владельца, СНИЛС, ИНН | Только перевыпуск сертификата |
| Издатель (Issuer) | Реквизиты удостоверяющего центра | Не меняется, задаётся УЦ при выпуске |
| Срок действия | Даты начала и окончания | Не продлевается, выпускается новый сертификат |
| Серийный номер и отпечаток | Идентификаторы для реестра и журналов | У нового сертификата всегда новые |
| Открытый ключ и алгоритмы | Ключ проверки, ГОСТ Р 34.10-2012 и 34.11-2012 | Меняется вместе с ключевой парой при перевыпуске |
| Точки CRL и адрес OCSP | Куда валидатор ходит за статусом отзыва | Задаются УЦ, правке не подлежат |
| Должность и организация | В сертификатах сотрудников с сентября 2023 года отсутствуют | Меняются в МЧД, сертификат не трогается |
Последняя строка снимает большую часть обращений: данные, из-за которых раньше действительно приходилось перевыпускать сертификат сотрудника, теперь в него просто не записываются.
Мария Ж, специалист по цифровой подписи и КЭДО: «До сентября 2023 года в сертификате сотрудника были и наименование организации, и должность, поэтому смена должности означала поход в удостоверяющий центр. Сейчас сотрудник получает сертификат на себя как на физическое лицо, а полномочия живут в машиночитаемой доверенности. Прежде чем оформлять перевыпуск, откройте сертификат и посмотрите, есть ли там вообще то поле, которое вы собрались менять.»
Что меняется в сертификате, а что в МЧД
Разделение простое: сертификат удостоверяет личность, МЧД удостоверяет полномочия. Машиночитаемая доверенность — это XML-файл, который подписывается квалифицированной подписью руководителя и прикладывается к документу вместе с подписью сотрудника. Полномочия в ней кодируются по классификатору, размещённому в Единой системе нормативной и справочной информации: у каждого полномочия есть код, дата и уникальный идентификационный номер, и проверяет их не человек, а алгоритм принимающей системы.
| Что изменилось | Нужен новый сертификат | Что делать |
|---|---|---|
| Фамилия после брака или смены имени | Да | Перевыпуск в УЦ по новому паспорту, затем заявление о прекращении действия старого |
| Ошибка в СНИЛС или ИНН владельца | Да | Перевыпуск, старый гасится сразу: с неверным СНИЛС отчётность не примут |
| Замена паспорта по возрасту | Да, если реквизиты документа попали в сертификат | Сверить поля субъекта, при расхождении перевыпустить |
| Смена должности сотрудника | Нет | Отозвать прежнюю МЧД и выпустить новую с актуальными полномочиями |
| Переименование юрлица, смена адреса | Нет для сотрудника, да для руководителя | Сертификат руководителя перевыпускается в УЦ ФНС, сотрудникам переоформляется МЧД |
| Сотрудник перешёл в филиал | Нет | Новая МЧД от того лица, которое вправе доверять полномочия по этому филиалу |
| Увольнение владельца сертификата | Нет, сертификат остаётся у физлица | Отозвать МЧД, изъять корпоративный токен, закрыть доступы |
Строка про увольнение — место, где чаще всего ошибаются. Сертификат физлица принадлежит человеку, аннулировать его работодатель не может и не должен. Работодатель отзывает доверенность, и после этого подпись бывшего сотрудника перестаёт действовать от имени компании, оставаясь действительной как подпись гражданина.
Посмотрите, какие данные записаны в вашем сертификате
Проверка электронной подписи
Покажем, кто и когда подписал документ и действует ли сертификат. Без регистрации.
1 Выберите вид подписи:
2 Загрузите документ и файл подписи:
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Документ
Файл подписи (.sig)
Нужно подписать документ?
Подпишите прямо в браузере через КриптоПро. На PDF можно поставить штамп в нужном месте.
Факт: сертификаты, выданные до 31 августа 2023 года, продолжали действовать до конца своего срока, но не позднее 31 августа 2024 года. Сертификаты удостоверяющих центров, не прошедших аккредитацию Минцифры, прекратили действие 31 августа 2023 года.
Как перевыпустить сертификат и погасить старый
Перевыпуск — это не редактирование, а полный цикл: новая ключевая пара, новый запрос, новый сертификат, новый серийный номер. Действие прежнего сертификата прекращается по заявлению владельца, поданному в бумажной или электронной форме; сведения о прекращении действия удостоверяющий центр вносит в реестр в течение 12 часов с момента наступления обстоятельств или с момента, когда УЦ о них узнал. До момента появления записи в реестре старый сертификат для внешних валидаторов остаётся действующим.
Как перевыпустить сертификат при изменении данных: пошаговая инструкция
- Шаг 1. Откройте текущий сертификат и выпишите отпечаток, серийный номер, издателя и срок действия. Эти реквизиты понадобятся и в заявлении на прекращение действия, и в журнале учёта.
- Шаг 2. Проверьте, какие именно поля расходятся с документами. Если расхождение только в должности или организации, дальше идите не в УЦ, а к переоформлению МЧД.
- Шаг 3. Соберите комплект для УЦ: заявление на выпуск квалифицированного сертификата, согласие на обработку персональных данных, документ, подтверждающий изменение (свидетельство о браке, новый паспорт), при подаче через представителя — доверенность на получение сертификата.
- Шаг 4. Подготовьте носитель. Руководитель и ИП получают сертификат в УЦ ФНС на сертифицированный токен, сотрудники как физические лица — в аккредитованном удостоверяющем центре. Идентификация возможна и без личного визита, через подтверждённую учётную запись Госуслуг.
- Шаг 5. Сгенерируйте ключевую пару и запрос, получите сертификат, установите его в контейнер через КриптоПро CSP и проверьте, что цепочка доверия сходится до корневого сертификата.
- Шаг 6. Подайте заявление о прекращении действия прежнего сертификата и через 12 часов убедитесь, что он попал в список отзыва. Проверять надо по CRL или OCSP, а не по наличию файла на токене.
- Шаг 7. Обновите привязки: перевыпустите МЧД на новый сертификат, замените сертификат в системах отчётности и на площадках, внесите изменения в журнал учёта сертификатов.
Про шаг 7 забывают чаще всего. Машиночитаемая доверенность привязана к конкретному сертификату представителя, поэтому после перевыпуска старая МЧД перестаёт работать: принимающая система сверяет сертификат из подписи с сертификатом, указанным в доверенности, и не находит совпадения. В практике Добыто это самая частая причина отказов приёма документов в первую неделю после плановой замены подписей.
Внимание: по регламенту удостоверяющего центра ФНС ключ выдаётся только в неэкспортируемом контейнере. Скопировать его на второй носитель или сохранить «про запас» перед перевыпуском не получится, а неизвлекаемые ключи формата ФКН вообще никогда не покидают память токена.
Образцы заявлений и форм для перевыпуска сертификата
Комплект закрывает весь цикл замены подписи; начните с заявления на выпуск, а реестр сертификатов заведите до того, как замена станет массовой.
| Документ | Скачать |
|---|---|
| Заявление на выпуск квалифицированного сертификата ЭП | Скачать |
| Заявление на аннулирование сертификата ЭП | Скачать |
| Доверенность на получение сертификата ЭП | Скачать |
| Согласие на обработку персональных данных для выпуска сертификата | Скачать |
| Реестр сертификатов сотрудников (XLSX) | Скачать |
| Письмо контрагенту о переподписании документа | Скачать |
Что происходит с документами, подписанными старым сертификатом
Подпись, поставленная в период действия сертификата, остаётся действительной и после того, как сертификат истёк или был погашен. Проблема в другом: валидатор проверяет статус сертификата на текущий момент и без дополнительных данных не знает, когда именно был подписан файл. Поэтому договор годовой давности внезапно начинает открываться со статусом «подпись недействительна», хотя в момент подписания всё было корректно.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Решение техническое и ставится один раз. Подпись формата CAdES-BES фиксирует только заявленное подписантом время, которому валидатор не обязан верить. CAdES-T добавляет штамп времени от службы TSP, а архивный профиль CAdES-A позволяет доказывать корректность подписи и после смены криптоалгоритмов. Если вы храните подписанные p7s и sig дольше срока жизни сертификата, штамп времени нужен на этапе подписания, задним числом его не добавить.
Расширение файла на действительность не влияет: p7s, sig и sgn — это один и тот же контейнер CMS по стандарту PKCS#7, различается только имя. Принимающая сторона иногда требует конкретное расширение, и тогда файл достаточно переименовать. В контейнере при этом лежат и сертификат подписанта с цепочкой, и список отзыва, и блок SignerInfo со значением подписи и штампом времени, если он был добавлен.
Мария Ж, судебный эксперт по трудовому праву: «Переподписывать весь архив после перевыпуска сертификата не нужно, и требование контрагента переподписать закрытый прошлым годом акт почти всегда возникает из-за того, что у него в проверке не настроена работа со штампом времени. Сначала отправьте протокол проверки подписи, и в большинстве случаев вопрос закрывается на этом. Если сторона всё же настаивает, а подписант уволился, вопрос закрывается актом о невозможности переподписания.»
МЧД: где реально меняются данные сотрудника
Машиночитаемая доверенность заменила бумажную доверенность и стала местом, где живут все изменяемые сведения. Создать МЧД для налоговых действий можно в сервисе ФНС: заполняются данные доверителя, представителя и полномочий, после чего сервис формирует XML-файл, который вы скачиваете и прикладываете к подписываемым документам. Ограничение сервиса ФНС в том, что доверенности из него рассчитаны на взаимодействие с налоговой; для других направлений используются форматы соответствующих ведомств и операторов.
Про филиал вопрос возникает регулярно. Отдельного «сертификата филиала» не существует, и МЧД оформляется не на подразделение, а на конкретное физическое лицо. Если сотрудник переведён в филиал и подписывает документы от имени юридического лица, доверенность выпускает то лицо, которое вправе передавать эти полномочия: руководитель организации либо руководитель филиала, если у него самого есть такое право по доверенности с возможностью передоверия. Передоверие оформляется через нотариуса: с паспортом, данными нового уполномоченного лица и актуальной выпиской из ЕГРЮЛ. Нотариус создаёт новую доверенность, подписывает её своей квалифицированной подписью и выгружает в информационную систему. В практике Добыто распределённые компании закрывают этот вопрос заранее: полномочия по филиалам описываются в оргструктуре до того, как понадобится первая доверенность.
Полезно знать: организация может направить перечень собственных полномочий в Минцифры. На рассмотрение отводится 10 дней, при положительном решении на присвоение кодов и включение в классификатор даётся ещё три рабочих дня.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Держите МЧД и сертификаты в одном реестре и связывайте их по отпечатку сертификата представителя. Как только вы перевыпускаете подпись сотруднику, система сразу показывает, какие доверенности стали нерабочими. Без такой связки перевыпуск на 200 человек превращается в разбор отказов по каждому документу отдельно.»
Носитель, КриптоПро CSP и рабочее место после перевыпуска
Новый сертификат означает новый контейнер, и на носителе он занимает место рядом со старым. Рутокен ЭЦП 3.0 несёт 128 КБ защищённой памяти; в формате КриптоПро CSP на него помещается до 31 контейнера, а один контейнер вместе со всеми расширениями и цепочкой сертификатов в тяжёлых случаях доходит до 12 КБ. Если на токене годами копились контейнеры, перед записью нового имеет смысл разобрать содержимое, а не удалять всё подряд: вместе с мусором легко снести действующий рабочий ключ.
Носитель под квалифицированную подпись должен быть сертифицированным. Из распространённых моделей это линейки Рутокен, JaCarta и ESMART Token ГОСТ, и под каждую нужен свой драйвер: пакеты берутся на сайтах производителей, для ESMART — в разделе загрузок esmart.ru. Сертификация ФСТЭК достаточна, когда токен работает только как защищённое ПИН-кодом хранилище извлекаемых ключей; если ключ генерируется и живёт внутри криптоядра токена, требуется сертификация ФСБ, иначе подпись не считается квалифицированной.
Лайфхак: для работы с подписью УЦ ФНС на рабочем месте нужны КриптоПро CSP версии 5.0 R2 сборки 12000 или выше, КриптоПро ЭЦП Browser Plug-in и оба корневых сертификата с uc.nalog.ru/crt: guc_22.cert ставится в доверенные корневые центры, CA_FNS_Russia_2022_01.cert — в промежуточные. Половина обращений «новый сертификат не работает» закрывается именно вторым файлом.
Отдельная история — забытый ПИН-код токена. Пользовательский ПИН сбрасывается администраторским через панель управления носителя, но если исчерпаны попытки и по администраторскому ПИН-коду, токен форматируется, а вместе с ним теряются все контейнеры. Ключ после этого не восстанавливается никаким способом, и вопрос закрывается только новым обращением в удостоверяющий центр. Порядок получения сертификата и перечень документов удостоверяющий центр публикует у себя; для руководителей и ИП актуальные требования собраны в разделе про Удостоверяющий центр ФНС России на сайте налоговой службы.
Цена ошибки и случаи, когда перевыпуск не нужен
Прямые расходы на перевыпуск невелики, а стоимость промедления складывается из простоя процессов. Пока сертификат руководителя не приведён в соответствие с ЕГРЮЛ, компания не подписывает отчётность и не проходит авторизацию на площадках; пока не переоформлена МЧД, документы сотрудника отклоняются принимающей системой без объяснения причин. Перевыпуск сертификата желательно инициировать примерно за 30 дней до окончания срока действия старого, чтобы не совмещать плановую замену с внеплановой.
Вторая статья потерь — параллельно живущие сертификаты. Если старый сертификат не погашен, им продолжают подписывать: в системе остаётся два действующих ключа на одного человека, и в спорной ситуации приходится доказывать, какой из них применялся правомерно. Заявление о прекращении действия подаётся сразу после того, как новый сертификат установлен и проверен, а не «когда дойдут руки».
Когда перевыпуск не требуется
- Изменилась должность или подразделение. В сертификате сотрудника этих сведений нет, переоформляется МЧД.
- Юрлицо сменило адрес или телефон. Сертификат сотрудника не затрагивается, сертификат руководителя проверяется на соответствие сведениям ЕГРЮЛ.
- Контрагент прислал файл с непривычным расширением. p7s, sig и sgn — один формат, вопрос решается переименованием или проверкой в валидаторе, который принимает любое расширение.
- Подпись на старом документе показывается недействительной из-за истёкшего сертификата. Если в подписи есть штамп времени, достаточно протокола проверки.
- Сотрудник уволился. Отзывается доверенность и изымается корпоративный носитель, сертификат физического лица остаётся у человека.
Журнал учёта сертификатов: что фиксировать
Реестр сертификатов превращает перевыпуск из аврала в рутину. Минимальный набор полей: владелец, роль, удостоверяющий центр-издатель, серийный номер, отпечаток, даты начала и окончания действия, тип и инвентарный номер носителя, связанные МЧД, отметка о прекращении действия с датой. По отпечатку связываются сертификат и доверенность, по дате окончания строится график плановых замен.
Перед плановой заменой пройдите короткую диагностику: сверьте данные субъекта с кадровыми документами, проверьте остаток памяти на носителе, убедитесь, что на рабочем месте актуальная версия криптопровайдера и оба корневых сертификата, посмотрите, какие МЧД привязаны к заменяемому сертификату, и заранее подготовьте заявление на прекращение действия. Пять пунктов занимают полчаса и снимают основную часть проблем на этапе установки.
Кейс из практики: в производственной компании на 640 сотрудников плановая замена подписей растянулась на три недели: реестра не было, связки сертификатов с доверенностями искали по перепискам, часть МЧД обнаружили только после отказов приёма. После того как реестр был заведён и синхронизирован с профилями сотрудников, следующая замена заняла 4 рабочих дня. В сервисе Добыто такой реестр ведётся вместе с карточками сотрудников, и статус подписи виден в профиле рядом с кадровыми документами.
Мария Ж, юрист со стажем более 20 лет: «Перевыпуск сертификата — это всегда две операции, а не одна: выпустить новый и прекратить действие старого. Заявление о прекращении подавайте в тот же день, когда убедились, что новый сертификат работает. Сведения о прекращении попадают в реестр в течение 12 часов, и до этого момента старый ключ для внешних систем ещё живой.»
Стоимость работы с электронными подписями сотрудников в КЭДО
Стоимость зависит от численности сотрудников и набора функций: выпуск подписей для КЭДО входит в тариф, отдельно оплачиваются только квалифицированные сертификаты через удостоверяющие центры.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: без ограничения по численности, ПЭП, УНЭП и УКЭП, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» | 50 сотрудников за 30 000 ₽ в год | год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | входит в тариф |
| УКЭП через партнёров-удостоверяющих центров | по запросу | рассчитывается индивидуально |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | 1 день на установку и настройку |
Итоговая сумма считается от численности и выбранного набора функций: электронный архив, кастомные шаблоны и приоритетная поддержка доступны начиная с тарифа «Бизнес», а выделенный сервер и SLA — только в «Корпорации». Полные условия по каждому тарифу и состав функций смотрите на странице тарифов ДОБЫТО КЭДО.
Переход между тарифами возможен в любое время: при повышении разница пересчитывается пропорционально оставшемуся периоду.
Выводы
Отредактировать выпущенный сертификат невозможно по устройству формата: подпись удостоверяющего центра защищает всё тело сертификата целиком. Любое изменение данных владельца закрывается парой операций — выпуск нового сертификата и прекращение действия прежнего с записью в реестр в течение 12 часов. При этом большая часть запросов на «изменение данных» после перехода на сертификаты физических лиц вообще не касается сертификата: должность, организация и полномочия переоформляются машиночитаемой доверенностью. Уже подписанные документы от замены не страдают, если на этапе подписания был добавлен штамп времени.
В сервисе КЭДО Добыто подписи сотрудников, их сроки действия и связанные доверенности ведутся в одном реестре вместе с кадровыми документами, поэтому плановая замена не превращается в ручной обход систем. Мы закладываем пилотную группу перед массовым перевыпуском: на ней видно, какие интеграции придётся перенастроить.
Частые вопросы
Можно ли изменить в сертификате только адрес электронной почты?
Нет. Адрес электронной почты входит в поля субъекта и защищён подписью удостоверяющего центра наравне с ФИО и СНИЛС. Отдельной процедуры правки одного поля не существует: выпускается новый сертификат с новой ключевой парой, новым серийным номером и новым отпечатком. Если адрес нужен только для уведомлений внутри системы отчётности, его меняют в настройках личного кабинета, а сертификат не трогают.
Сертификат уже погашен, а документ надо подписать сегодня. Что можно сделать?
Подписать погашенным сертификатом нельзя: статус отзыва попадает в CRL и OCSP, и проверка сразу покажет недействительность. Быстрый обходной путь зависит от документа. Для отчётности в налоговую подписывает руководитель своей подписью от УЦ ФНС, без МЧД. Для внутренних кадровых документов подходит УНЭП, выпущенная в системе КЭДО, — её выпуск занимает минуты и не требует визита в удостоверяющий центр. Для документов, где нормативно требуется УКЭП, ускорить процедуру нельзя, идентификация в УЦ обязательна.
Сохраняется ли код абонента ФНС после перевыпуска сертификата?
Код абонента выдаётся удостоверяющим центром и используется во внутренней системе доверенного УЦ. После перевыпуска новый сертификат регистрируется в сервисе самостоятельной регистрации ФНС: файл сертификата загружается на регистрацию, после чего в сервисе появляется информация о регистрации и идентификатор. Без этой процедуры транспортный контейнер с отчётностью сформируется, но принят не будет.
Забыт ПИН-код от токена. Можно ли обойтись без обращения в удостоверяющий центр?
Пользовательский ПИН-код разблокируется администраторским через панель управления носителя, и в этом случае контейнеры остаются на месте. Если исчерпаны попытки ввода и администраторского ПИН-кода, единственный вариант — форматирование токена, при котором удаляются все контейнеры вместе с ключами. Восстановить закрытый ключ после форматирования нельзя, потребуется выпуск нового сертификата.
Нужна ли отдельная МЧД на каждый филиал?
Доверенность оформляется на физическое лицо, а не на подразделение, поэтому отдельной «МЧД филиала» не бывает. Если сотрудник филиала подписывает документы от имени юридического лица, доверенность выдаёт руководитель организации либо руководитель филиала при наличии у него права передоверия. Передоверие оформляется нотариально: нотариус проверяет паспорт, данные нового представителя и актуальную выписку из ЕГРЮЛ, создаёт документ, подписывает его своей квалифицированной подписью и выгружает в информационную систему.
Отличается ли проверка подписи p7s от sig после перевыпуска сертификата?
Не отличается. p7s, sig и sgn — имена одного и того же контейнера CMS по стандарту PKCS#7, внутри которого лежат сертификат подписанта с цепочкой, список отзыва и блок SignerInfo. Валидатор смотрит на содержимое, а не на расширение. Если принимающая система жёстко ждёт конкретное расширение, файл переименовывается, содержимое при этом не меняется.
Можно ли записать новый сертификат на ESMART Token ГОСТ рядом со старым?
Можно, пока хватает памяти носителя и он поддерживается установленной версией криптопровайдера. Перед записью проверьте, что установлен драйвер именно этой линейки: пакеты для Рутокен, JaCarta и ESMART скачиваются с сайтов производителей, и без нужного драйвера КриптоПро CSP контейнер не увидит. Хранить старый и новый сертификаты рядом удобно на время перехода, но после подтверждения прекращения действия старый контейнер лучше удалить, чтобы им не подписали по ошибке.
