Файл .sgn — это откреплённая электронная подпись к документу: отдельный контейнер формата CMS (PKCS#7), внутри которого лежат значение подписи, сертификат подписанта, алгоритм хэширования по ГОСТ и заявленное время подписания. Открыть его двойным кликом и прочитать нельзя, и это нормально: сам документ читается обычной программой без криптографии, а .sgn нужен только для проверки. Проверка всегда идёт в паре: в программу или онлайн-сервис загружаются и документ, и парный файл подписи с тем же именем. Главное различие, которое определяет исход: .sgn — это расширение, а не отдельный стандарт подписи, поэтому большинство сбоев связано не с содержимым контейнера, а с тем, что принимающая программа ждёт другое расширение.
Разберём, чем .sgn отличается от .sig и .p7s, как проверить подпись на Госуслугах, в КриптоПро и через браузер, и по каким признакам оценивать онлайн-сервис проверки до того, как загрузить в него рабочий документ. Покажем, когда переименование .sgn в .sig безопасно, а когда оно ломает проверку, и что стоит за статусами вида «сертификат не входит в список доверенных». Тарифы и сроки на 2026 год, шаблоны протокола проверки и письма контрагенту о переподписании, разбор ошибки 0x80091007 и ответы на частые вопросы — во второй половине статьи.
Загрузите файл подписи в чекер: он разберёт контейнер и покажет, кто подписал, каким сертификатом, когда и действует ли подпись на текущую дату.
Добыто · Проверка подписи
Что за файл пришёл с документом
Загрузите файл — определим по расширению и содержимому: присоединённая это подпись или откреплённая, чем открыть и куда идти дальше. Архивы раскрываем и смотрим, что внутри.
Файл остаётся на вашем устройстве — мы его не получаем и не хранимНет файла под рукой? Выберите расширение вручную:
Мы не храним ваши файлы и не имеем к ним доступа. Файл читается только в памяти вашего браузера, на сервер Добыто он не передаётся, копий не остаётся. Закройте страницу — и от файла не останется следов.
Что лежит внутри файла .sgn и почему он не открывается
Расширение .sgn не описывает криптографию. Внутри такой же контейнер CMS, он же PKCS#7, что и у файлов .sig и .p7s: версия контейнера, алгоритм хэширования по ГОСТ, сведения о сертификатах подписанта с цепочкой доверия, список отозванных сертификатов и блок SignerInfo со значением подписи и временем. Разные программы просто по-разному называют файл на выходе. В параметрах подписания КриптоАРМ ГОСТ расширение выбирается из пяти вариантов: sig, p7s, sgn, sign и bin. В Инструментах КриптоПро список короче: p7s, sig и sgn при формате CAdES-BES.
Отсюда практическое следствие. Если контрагент прислал .sgn, а ваша программа принимает только .sig, дело не в том, что подпись «чужая» или сделана в несовместимой системе. Скорее всего, у отправителя в настройках стояло другое расширение по умолчанию.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Факт: в параметрах подписания КриптоАРМ ГОСТ доступно пять расширений файла подписи — sig, p7s, sgn, sign и bin. Содержимое контейнера при этом не меняется.
Второе, что сбивает получателя: подписанный документ выглядит как обычный. Откреплённая подпись не оставляет в файле ни штампа, ни отметки, ни визуальной пометки. Договор в PDF открывается, читается и печатается, но по нему невозможно понять, подписан он или нет.
Мария Ж, специалист по цифровой подписи и КЭДО: «Когда документ подписан откреплённой подписью, у того, кто его открывает, нет ощущения, что подпись вообще есть. Поэтому в архивах делают точную копию документа и добавляют в неё штамп визуализации: целостность оригинала не трогают, а копию можно посмотреть и распечатать. Если вам прислали только PDF без второго файла, не додумывайте: запросите файл подписи, без него проверять нечего.»
Проверьте папку, в которую вы сохранили вложение из письма. Пара выглядит так: prikaz.pdf и prikaz.pdf.sgn. Если второго файла нет, подпись до вас не дошла.
Как открыть документ и проверить подпись .sgn: четыре рабочих способа
Сам документ открывается той программой, которой открывался бы и без подписи: PDF в просмотрщике, DOCX в редакторе. Криптография нужна только для второго действия — подтвердить, что документ после подписания не менялся и что сертификат подписанта был действителен. Способы отличаются тем, что требуется установить и что вы получите на выходе.
| Способ | Что нужно | Что показывает | Ограничение |
|---|---|---|---|
| Онлайн-сервис проверки в браузере | Документ и парный файл подписи, согласие на обработку персональных данных | Статус подписи, подписанта, издателя сертификата, срок действия, алгоритм ГОСТ | Файл уходит на сторону сервиса, есть предел размера загрузки |
| Портал Госуслуг | Документ и файл подписи, ничего устанавливать не нужно | Результат проверки и сведения о сертификате | Рассчитан на квалифицированную подпись, по одному документу за раз |
| Инструменты КриптоПро (CryptoPro CSP) | Установленный криптопровайдер с действующей лицензией | Проверку подписи, просмотр установленных сертификатов, выбор расширения p7s, sig, sgn | Установка на рабочий компьютер, при истечении лицензии проверка останавливается |
| КриптоАРМ ГОСТ 3 | Установленная программа, КриптоПро CSP | Пакетную проверку, выбор из пяти расширений, усовершенствование подписи до архивных форматов | Платная лицензия, установка на каждое рабочее место |
| Внутренний сервис компании на серверном решении | Развёрнутый сервис в контуре организации | Автоматическую проверку потока документов и протокол проверки в PDF | Разворачивается силами компании, сотруднику недоступен напрямую |
Сотруднику, которому нужно проверить один приказ или один договор, разворачивать инфраструктуру незачем: разница между браузером и установленной программой начинается там, где документов десятки и сотни в месяц.
Как проверить файл .sgn: пошаговая инструкция
- Шаг 1. Сохраните оба вложения из письма в одну папку и не переименовывайте документ. Имя файла подписи должно повторять имя документа целиком, вместе с его расширением.
- Шаг 2. Включите в Проводнике отображение расширений имён файлов. Без этого вы не увидите, что перед вами .sgn, а не .sig, и не поймёте, почему программа отказывается принимать файл.
- Шаг 3. Откройте сервис проверки и выберите вид подписи — откреплённая. Присоединённая проверяется одним файлом, откреплённая — двумя, и перепутанный переключатель даёт ошибку ещё до начала проверки.
- Шаг 4. Загрузите документ в первое поле, файл подписи во второе, подтвердите согласие на обработку персональных данных и запустите проверку.
- Шаг 5. Прочитайте не только итоговый статус, но и карточку сертификата: владельца, издателя, срок действия и алгоритм. Совпадение фамилии подписанта с тем, кого вы ожидали увидеть, — отдельная проверка, которую сервис за вас не сделает.
- Шаг 6. Сохраните результат: выгрузите протокол проверки или сделайте снимок экрана с датой. Через полгода восстановить картину по памяти не получится.
В Добыто.Подпись проверка идёт из браузера, без установки криптопровайдера: форма принимает документ и парный файл подписи и возвращает карточку с данными подписанта, издателя сертификата и алгоритмом. Отдельный сценарий — когда у вас на руках только файл подписи: присоединённый контейнер несёт внутри и сам документ, и его можно извлечь.
Проверить квалифицированную подпись можно и на портале Госуслуг: там же в справочном разделе описано, как проверить электронную подпись и какие статусы выдаёт сервис проверки. Это разумная контрольная точка, когда результат нужен для спора с контрагентом и хочется опереться на государственный ресурс.
Можно ли доверять онлайн-сервису проверки: шесть критериев
Вопрос доверия к сервису распадается на два разных вопроса: можно ли доверять результату проверки и можно ли доверять сервису сам документ. Ответы независимы, и путать их не стоит.
- Проверяемость результата. Сервис показывает не только слово «верна», но и реквизиты: владельца сертификата, издателя, серийный номер, срок действия, алгоритм. Эти данные вы можете сверить с любым другим средством проверки. Сервис, который выдаёт только зелёную галочку, проверить невозможно.
- Разделение двух статусов. Криптографическая целостность и доверие к сертификату — разные вещи. Подпись может быть математически верна, но сертификат выпущен тестовым или неаккредитованным центром, и тогда корректный ответ звучит как «подписи нельзя доверять» с указанием причины.
- Явное согласие на обработку. Загрузка документа в сторонний сервис — это передача данных. Отметка о согласии на обработку персональных данных в форме означает, что оператор понимает свои обязанности по 152-ФЗ, а не просто принимает файлы.
- Прозрачность ограничений. Указан предельный размер файла, названы поддерживаемые виды подписи, разделены присоединённая и откреплённая. Сервис, который обещает «проверить всё», обычно проверяет один сценарий.
- Выгружаемый результат. Протокол проверки, который можно скачать и приложить к делу, отличает рабочий инструмент от справочной странички.
- Понятная принадлежность. У сервиса есть владелец с реквизитами, а не анонимная форма на неизвестном домене.
Юридическая рамка при этом одна для всех: онлайн-проверка не создаёт и не отменяет юридическую силу подписи. Она фиксирует состояние документа на момент проверки. В судебном споре опорой будет сам подписанный документ и заключение эксперта, а не скриншот из браузера.
Мария Ж, судебный эксперт в сфере корпоративного и трудового права: «Результат онлайн-проверки — это ваша рабочая фиксация, а не экспертиза. Он отвечает на вопрос, менялся ли документ после подписания и чей сертификат стоит под ним. Поэтому смотрите не на статус целиком, а на два поля отдельно: целостность документа и статус сертификата. Расхождение между ними и есть повод не принимать документ в работу.»
Внимание: статус «подпись математически верна» ещё не означает, что документу можно доверять. Если сертификат выпущен тестовым удостоверяющим центром и не входит в список доверенных, сервис показывает подпись как недействительную, и это правильный результат.
Пожалуйста, подпишитесь на нас в мессенджерах
Канал для кадровиков и HR: изменения в законах, практика проверок, шаблоны документов, инструменты подбора и оценки.
Когда онлайн-проверка не подходит
Есть сценарии, в которых загружать документ в браузерный сервис не нужно и не стоит:
- Документ содержит сведения, составляющие коммерческую тайну, или персональные данные третьих лиц, на передачу которых у вас нет оснований.
- Компания работает в закрытом контуре, и вынос файла за периметр нарушает внутренний регламент.
- Проверять нужно поток: десятки и сотни файлов ежедневно. Ручная загрузка по одному теряет смысл, задача решается автоматизацией на стороне организации.
- Файл превышает предел размера, установленный сервисом.
- Нужна не проверка, а подтверждение подписи в споре: тогда результат браузерной проверки не заменяет протокол и заключение специалиста.
Во всех этих случаях рабочий вариант — проверка установленной программой на своём компьютере или внутренний сервис компании.
Переименование .sgn в .sig: когда это безопасно
Расширение не входит в контейнер и не участвует в вычислении хэша. Переименование prikaz.pdf.sgn в prikaz.pdf.sig не меняет ни одного байта подписи и не влияет на её действительность. Ломает проверку другое: потеря базовой части имени. Если из prikaz.pdf.sgn сделать podpis.sig, программа перестанет видеть пару документ — подпись, и придётся указывать оба файла вручную.
Прежде чем переименовывать, включите в Проводнике отображение расширений имён файлов, иначе вы рискуете получить prikaz.pdf.sig.sgn и потратить час на поиск причины отказа.
Лайфхак: если файлов подписи много, расширение меняют пакетно командой Rename-Item в PowerShell, а не по одному через Проводник. На партии из 1500 файлов разница во времени становится решающей.
Кейс из практики: производственная компания получала от подрядчика акты с подписями в .sgn, а внутренняя система приёмки принимала только .sig и отклоняла комплекты целиком. Файлы переименовали пакетно, проверку прошли все документы без единого повторного подписания. Вывод, который стоит забрать: отклонение по расширению почти никогда не означает проблему с самой подписью.
Что означает результат проверки и где ошибаются чаще всего
Формулировки сервисов различаются, но за ними стоит ограниченный набор состояний. Разбирать их удобнее по связке «статус — причина — действие».
| Что показывает проверка | Что за этим стоит | Что делать |
|---|---|---|
| Подпись верна | Документ не менялся после подписания, сертификат действителен и признан | Сверить фамилию подписанта с ожидаемой и сохранить протокол |
| Выбран неверный файл подписи | Загружена подпись от другого документа либо документ изменён после подписания | Взять исходный файл из письма, а не пересохранённую копию, и повторить проверку |
| Ошибка 0x80091007, неправильное значение хэша | Содержимое документа не совпадает с тем, что подписывали: правка, пересохранение, конвертация | Запросить у отправителя исходный файл и подпись повторно |
| Сертификат не входит в список доверенных | Сертификат выпущен тестовым или неаккредитованным центром | Документ в работу не принимать, запросить подписание действующим сертификатом |
| Сертификат недействителен, отозван | Сертификат подписанта отозван удостоверяющим центром | Проверить дату подписания и наличие штампа времени, при отсутствии — запросить переподписание |
Разница между двумя нижними строками принципиальна: в первом случае доверия к подписи не было никогда, во втором оно было и исчезло. Для документа, подписанного до отзыва сертификата, спасением служит штамп времени.
Важный нюанс из практики: в разборах обращений по невалидной подписи, которые ведут специалисты Добыто, повторяются две причины — документ пересохранили после подписания и сертификат выпущен тестовым удостоверяющим центром. Обе видны в карточке результата за минуту, если читать не только итоговый статус, но и блок сведений об издателе.
Если под документом подпись сотрудника, а не руководителя
Сотрудник подписывает документы от лица компании личным сертификатом физического лица, а полномочия подтверждает машиночитаемая доверенность. Данные МЧД — это XML-файл, который регистрируется в распределённом реестре ФНС и передаётся вместе с подписанным документом. При проверке смотрят три вещи: совпадает ли подписант с лицом в доверенности, покрывает ли перечень полномочий подписанный тип документа и действует ли доверенность на дату подписания.
Отдельный частый вопрос — МЧД на филиал. Филиал не является юридическим лицом, поэтому доверенность выдаётся от имени организации, а руководитель филиала действует в объёме переданных ему полномочий и передоверяет их дальше, только если это прямо предусмотрено. Формулировка полномочий определяет, примут документ или нет, поэтому её сверяют до подписания, а не после.
Шаблоны для разбора спорной подписи
Комплект собран под ситуацию «подпись не прошла проверку»: начните с чек-листа диагностики, он отсекает бытовые причины за несколько минут.
| Документ | Скачать |
|---|---|
| Чек-лист диагностики «Подпись не валидна» | Скачать |
| Протокол проверки электронной подписи (образец) | Скачать |
| Письмо контрагенту о переподписании (образец) | Скачать |
| Акт о невозможности переподписания (образец) | Скачать |
| Регламент двустороннего обмена документами | Скачать |
| Машиночитаемая доверенность (МЧД): образец и структура XML | Скачать |
Цена ошибки при работе с .sgn
Непроверенный файл подписи стоит дороже потраченных на проверку пяти минут, и расходы редко ограничиваются переоформлением документа.
Первое — потеря доказательства. Если документ после подписания пересохранили или сконвертировали, подпись перестаёт сходиться, и восстановить её нельзя: нужно переподписание. Когда подписант уволился, сменил сертификат или организация ликвидирована, переподписать некому, и остаётся акт о невозможности переподписания, который в споре весит заметно меньше исходной подписи.
Второе — кадровые последствия. Если кадровый документ подписан подписью, не допустимой для этого вида документа, ГИТ его не признаёт: по части 1 статьи 5.27 КоАП организации грозит предупреждение или штраф от 30 000 до 50 000 рублей, а работник фактически остаётся без оформленного документа. Виды ЭЦП здесь не взаимозаменяемы: ПЭП, УНЭП и УКЭП различаются по допустимости для конкретного документа, и подмена одного вида другим не лечится перепроверкой файла.
Третье — потерянные файлы подписи. Документ хранится, а парный .sgn удаляют как непонятный. Через год восстановить подпись нечем, а документ без неё юридической силы не имеет.
Мария Ж, юрист со стажем более 20 лет: «Самая частая утрата подписи выглядит буднично: сотрудник открыл присланный PDF, что-то поправил, сохранил под тем же именем и отправил дальше. Файл подписи при этом остался прежним, и проверка выдаёт несовпадение хэша. Правило простое: подписанный документ не редактируют. Нужна правка — готовится новая версия и подписывается заново.»
Почему .sgn через несколько лет может не пройти проверку
Обычная подпись формата CAdES-BES проверяется, пока действует сертификат подписанта и доступны сведения о его статусе. Кадровые и финансовые документы живут дольше сертификата. Требования к хранению электронных документов при этом наследуются от бумажных: 125-ФЗ «Об архивном деле», статья 13, пункт 2, даёт организации право самостоятельно создавать архив и организовывать хранение, а типовые функциональные требования к системам электронного документооборота и системам хранения электронных документов утверждены приказом Росархива от 15 июня 2020 года.
Технический ответ на долгое хранение — усовершенствование подписи. К контейнеру добавляют штамп времени, подтверждение статуса сертификата на момент подписания и архивную метку, которая заверяет предыдущие доказательства. Такая подпись проверяется и после истечения срока действия сертификата.
Полезно знать: откреплённая подпись не видна в самом документе. Для наглядности делают точную копию документа со штампом визуализации: оригинал остаётся неизменным, а копию можно посмотреть и распечатать.
Если вы работодатель и читаете этот раздел с мыслью, что кадровые документы у вас лежат россыпью файлов и подписей по папкам, отдельный архивариус для порядка не нужен: в КЭДО документ, маршрут подписания и подпись хранятся связкой, а после исполнения документ уходит во вкладку «Архив», откуда его скачивает и работник, и кадровая служба.
Мария Ж, соучредитель сервиса КЭДО Добыто: «Мы разводим два процесса: разовую проверку присланного файла и системное хранение. Разовую закрывает браузер за минуту. Системное закрывает только КЭДО, где к документу привязаны маршрут согласования, статус каждого участника и сама подпись. Проверьте у себя простое: сможете ли вы через год выгрузить и документ, и файл подписи одной операцией.»
Стоимость подключения КЭДО и электронных подписей в 2026 году
Стоимость зависит от численности сотрудников, нужных видов подписи и интеграций с учётной системой.
| Услуга | Стоимость | Сроки |
|---|---|---|
| Тариф «Старт»: до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | подключение за 5 минут |
| Тариф «Бизнес»: неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, электронный архив | от 50 ₽ за сотрудника / мес | подключение за 5 минут |
| Минимальная оплата по тарифу «Бизнес» (50 сотрудников) | 30 000 ₽ в год | оплата за год |
| Тариф «Корпорация»: выделенный сервер, SLA 99.9%, API и кастомные интеграции | по запросу | рассчитывается индивидуально |
| Выпуск подписей ПЭП и УНЭП для сотрудников | бесплатно на всех тарифах | по мере подключения сотрудников |
| Интеграция с 1С:ЗУП готовым модулем | входит в тариф «Бизнес» | установка и настройка за один день |
Итоговая сумма складывается из численности и выбранного набора функций: тариф меняется в любой момент, а при повышении разница пересчитывается пропорционально оставшемуся периоду. Условия по каждому набору собраны на странице тарифов ДОБЫТО КЭДО.
УКЭП в тарифы не входит: её получают через партнёров-удостоверяющие центры. Платформа соответствует требованиям 377-ФЗ, статей 22.1-22.3 ТК РФ и 152-ФЗ о персональных данных.
Выводы
Расширение .sgn не делает подпись особенной: внутри тот же контейнер CMS, что у .sig и .p7s, а документ читается без криптографии. Задача сводится к двум действиям: не потерять пару файлов и проверить подпись доступным средством, разделяя целостность документа и доверие к сертификату. Онлайн-сервису можно доверять ровно в той мере, в какой он показывает проверяемые реквизиты, честно называет ограничения и позволяет выгрузить результат, а для закрытого контура и потоковой обработки остаются установленные программы и внутренние сервисы.
Мы в Добыто работаем с обеими сторонами этой задачи: разовой проверкой файла подписи прямо в браузере и кадровым документооборотом, где документ, маршрут подписания и подпись хранятся одной связкой и выгружаются вместе. Если в компании накопились папки с документами и отдельными файлами подписей, порядок начинается с описи сертификатов и правил обмена, а не с покупки лицензий.
Частые вопросы
Можно ли открыть и проверить .sgn на телефоне?
Прочитать сам документ телефон позволяет: PDF или DOCX открываются штатными средствами. Проверить откреплённую подпись мобильные просмотрщики не умеют, им нужен криптопровайдер с поддержкой ГОСТ. Рабочий вариант с телефона — браузерный сервис проверки, куда загружаются оба файла. Учитывайте предел размера загрузки и то, что документ уходит на сторону сервиса.
Пришёл только файл .sgn без документа. Что делать?
Откреплённая подпись не содержит документа, поэтому восстановить текст из .sgn невозможно: контейнер хранит значение подписи, сертификат и хэш, но не сам файл. Запросите у отправителя исходный документ с тем же именем. Если же контейнер присоединённый, документ лежит внутри и извлекается инструментом извлечения. Отличить просто: присоединённая подпись проверяется одним файлом, откреплённая требует двух.
Чем .sgn отличается от подписи p7s?
По содержимому ничем: оба расширения обозначают контейнер CMS (PKCS#7). Разница в практике применения: p7s встречается и как откреплённая подпись, и как подпись, встроенная в документ, тогда как .sgn используют для откреплённого варианта. Определять вид подписи по расширению ненадёжно, смотрите, приходил ли вместе с подписью отдельный документ.
Нужен ли CryptoPro CSP, чтобы проверить подпись?
Для проверки на своём компьютере программой — да, криптопровайдер с поддержкой ГОСТ обязателен, и у лицензии есть срок: при его истечении проверка останавливается с системным уведомлением. Для проверки через браузерный сервис устанавливать ничего не нужно, криптография отрабатывает на стороне сервиса. Токен, будь то Рутокен или ESMART Token ГОСТ, нужен для создания подписи, а не для её проверки.
Я забыл, какой подписью подписывал документ, и потерял доступ к токену. Подпись останется действительной?
Да, ранее созданная подпись не зависит от того, есть ли у вас сейчас доступ к ключу: проверка идёт по сертификату, который лежит внутри контейнера. Посмотреть владельца, издателя и срок действия можно в карточке результата проверки. Утрата носителя влияет только на будущие подписания: понадобится новый сертификат, а старый лучше отозвать, чтобы им не воспользовались.
Как проверить подпись у письма, пришедшего по электронной почте?
Сохраните вложения в одну папку, не открывая и не пересохраняя документ через редактор: любое пересохранение меняет содержимое, и хэш перестаёт сходиться. Дальше проверяйте пару файлов обычным порядком. Если во вложении оказался зашифрованный контейнер, а не подпись, открыть его без соответствующего программного обеспечения не получится, и это отдельная задача, не связанная с проверкой подписи.
Где посмотреть журнал ЭЦП, то есть историю подписаний по сотруднику?
При файловом обмене такого журнала нет: каждая подпись существует отдельным файлом, и историю приходится собирать вручную по папкам. Журнал ведёт система документооборота: там видно, кто, когда и на каком шаге маршрута подписал документ и в каком статусе он сейчас. Для файлового обмена альтернатива одна — реестр сертификатов сотрудников в таблице, где фиксируются владелец, издатель и срок действия каждого сертификата.
