Подписание PDF файла ЭЦП в формате SIG через КриптоПро — процедура создания открепленной электронной подписи, при которой рядом с исходным документом формируется отдельный файл с расширением .sig, содержащий криптографические данные подписанта. Этот формат требуется при работе с госпорталами, электронными торговыми площадками и системами межведомственного документооборота. Разберем, как правильно настроить КриптоПро CSP и КриптоАРМ ГОСТ 3 для подписания PDF, какой формат CAdES выбрать и на что обращать внимание, чтобы подпись прошла проверку с первого раза. Материал дополняет основную инструкцию о том, как подписать электронной подписью различными способами.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что такое SIG-файл и чем он отличается от встроенной подписи в PDF
SIG-файл — это контейнер открепленной (detached) электронной подписи стандарта CMS/PKCS#7. При подписании PDF документа в формате SIG исходный файл остается неизменным, а рядом с ним создается второй файл — например, dogovor.pdf.sig. Для проверки подлинности нужны оба файла: и оригинал, и .sig. Потеряешь один — проверка невозможна.
Встроенная подпись работает иначе. Плагин КриптоПро PDF встраивает криптографические данные прямо внутрь PDF-документа. Файл один, ничего дополнительного хранить не нужно. Но встроенная подпись меняет структуру самого файла — и это создает проблемы при передаче в системы, которые ожидают именно .sig.
Госпорталы (ФНС, Росреестр, электронные торговые площадки), система «Мой Арбитр», ГАС «Правосудие» — все они работают с открепленной подписью. Если загрузить PDF со встроенной подписью на торговую площадку, система её просто не увидит. Нужен .sig.
| Параметр | Открепленная (.sig) | Встроенная (внутри PDF) |
|---|---|---|
| Исходный файл | Не изменяется | Модифицируется |
| Количество файлов | Два (PDF + .sig) | Один (PDF) |
| Где требуется | ФНС, торги, суды, Росреестр | Внутренний ЭДО, КЭДО |
| Программа | КриптоАРМ ГОСТ, Контур.Крипто | КриптоПро PDF + Adobe Reader |
| Стандарт | CMS, CAdES-BES/T/XL/A | PAdES (PDF Advanced ES) |
Мария Ж, специалист по цифровой подписи и КЭДО:
«Путаница между встроенной и открепленной подписью — причина половины обращений в техподдержку. Человек подписал PDF через Adobe Reader с плагином КриптоПро PDF, отправил на торговую площадку, а ему говорят: ‘подпись не обнаружена’. Потому что площадка ждет .sig-файл, а он прислал PDF со встроенной подписью. Разные вещи.»
Что нужно для подписания PDF в формате SIG
Прежде чем подписывать, убедись что на рабочем месте установлено всё необходимое. Без любого из компонентов процесс не сработает — КриптоАРМ просто не увидит сертификат или выдаст ошибку при формировании подписи.
Программное обеспечение
КриптоПро CSP 5.0 (версия R2 или R3) — криптопровайдер, который выполняет все криптографические операции. Без него ни одна программа не сформирует подпись по ГОСТ. Скачивается с официального сайта cryptopro.ru после регистрации. Первые 90 дней работает бесплатно, дальше нужна лицензия — бессрочная или годовая.
КриптоАРМ ГОСТ 3 — программа для подписания файлов любых форматов, включая PDF. Именно она создает .sig-файл. Сертифицирована ФСБ России (сертификат действует до мая 2027 года). Поддерживает форматы CMS и CAdES всех уровней — от BES до архивной CAdES-A.
Корневые сертификаты: сертификат головного удостоверяющего центра Минцифры России и промежуточный сертификат вашего УЦ. Без них цепочка доверия не выстроится и подпись будет невалидной при проверке.
Аппаратные средства
USB-токен с действующим сертификатом УКЭП. Рутокен Lite, Рутокен ЭЦП 2.0 или 3.0, JaCarta, eSmart — подойдет любой сертифицированный носитель. Сертификат ФНС выдается бесплатно сроком на 15 месяцев. Коммерческие УЦ выпускают на 12 месяцев, стоимость зависит от тарифа.
Если сертификат записан на Рутокен ЭЦП 2.0 или 3.0 с неизвлекаемыми ключами — криптооперации выполняются прямо на чипе токена («подписать на борту»). Это безопаснее, но чуть медленнее. На Рутокен Lite ключ копируется в оперативную память CSP — быстрее, но менее защищено.
Подписание PDF через КриптоАРМ ГОСТ 3: пошаговая инструкция
КриптоАРМ ГОСТ 3 — основной инструмент для создания открепленной подписи .sig. Процедура состоит из настройки профиля подписания (делается один раз) и непосредственного подписания файла.
Настройка профиля подписания
Профиль определяет параметры будущей подписи: формат, кодировку, использование штампа времени. Настраивается через меню «Профили» в главном окне КриптоАРМ.
Формат подписи — выбирай CAdES-BES для базовых задач или CAdES-T если нужна метка времени (TSP). Для долгосрочного хранения документов (архив, кадровые документы со сроком хранения 50-75 лет) выбирай CAdES-XLong Type 1 — в него включается OCSP-ответ и полная цепочка сертификатов.
Кодировка — DER (бинарная, компактнее) или BASE64 (текстовая, можно открыть блокнотом). Для передачи по электронной почте лучше BASE64 — не повредится при пересылке. Для загрузки на порталы подходят обе.
TSP-сервер — адрес сервера штампов времени. Для продуктов КриптоПро: http://tsp.cryptopro.ru/tsp/tsp.srf. Метка времени фиксирует момент подписания — полезно для доказательства в суде.
Процесс подписания
Показать пошаговую инструкцию
- Шаг 1. Подключи USB-токен к компьютеру. Дождись, пока система определит устройство (индикатор на Рутокене загорится).
- Шаг 2. Открой КриптоАРМ ГОСТ 3. В главном окне нажми кнопку «Подписать» или перетащи PDF-файл в рабочую область программы.
- Шаг 3. Выбери файл для подписания. Можно выбрать несколько PDF одновременно — программа создаст .sig для каждого.
- Шаг 4. Выбери профиль подписания (настроенный ранее). Убедись, что установлен режим «Открепленная подпись» (detached).
- Шаг 5. Выбери сертификат для подписания. КриптоАРМ покажет все сертификаты, доступные в хранилище и на подключенных токенах. Выбери нужный — проверь срок действия и владельца.
- Шаг 6. Введи PIN-код токена (если запрашивается). Стандартный PIN для Рутокена: 12345678 (если не менялся).
- Шаг 7. Нажми «Подписать». Программа сформирует файл .sig в той же папке, где лежит исходный PDF.
Результат — рядом с файлом dogovor.pdf появится dogovor.pdf.sig. Оба файла нужно передавать получателю вместе. Если переименовать или изменить хоть один байт в PDF после подписания — проверка подписи провалится.
Мария Ж, соучредитель сервиса КЭДО Добыто:
«В практике Добыто мы постоянно сталкиваемся с ситуацией: кадровик подписал пачку PDF, отправил контрагенту, а тот не может проверить. Причина банальная — забыл приложить .sig файлы. Или переименовал PDF после подписания. Рекомендуем сразу архивировать пару файлов (PDF + .sig) в один архив перед отправкой.»
Подписание через командную строку КриптоПро CSP
Для тех, кто предпочитает работать без графического интерфейса или автоматизирует подписание через скрипты — КриптоПро CSP предоставляет утилиту cryptcp. Она входит в стандартную поставку CSP 5.0.
Команда для создания открепленной подписи PDF:
cryptcp -signf -der -cert -detached -thumbprint ОТПЕЧАТОК_СЕРТИФИКАТА document.pdf
Параметр -signf указывает на операцию подписания файла. Флаг -detached формирует именно открепленную подпись. Параметр -thumbprint принимает отпечаток (SHA1-хэш) сертификата — его можно посмотреть в свойствах сертификата через КриптоПро CSP или certmgr.msc.
После выполнения команды в текущей директории появится файл document.pdf.sgn (или .sig, в зависимости от версии). Для пакетного подписания нескольких PDF можно написать простой bat-скрипт с циклом по файлам в папке.
В сервисе Добыто подписание кадровых документов автоматизировано — кадровик не запускает КриптоАРМ вручную для каждого приказа. Система сама формирует .sig к каждому подписанному документу и хранит пару (документ + подпись) в электронном архиве.
Подписать документ электронной подписью онлайн
1 Загрузите необходимые файлы:
2 Выберите электронную подпись:
Форматы CAdES: какой выбрать для PDF
CAdES (CMS Advanced Electronic Signatures) — семейство форматов электронной подписи, каждый из которых включает разный набор атрибутов. Выбор формата влияет на то, как долго подпись будет проверяться и какие данные в неё включены.
CAdES-BES (Basic Electronic Signature)
Минимальный формат. Содержит только хэш документа, сертификат подписанта и криптографическую подпись. Не включает метку времени и не содержит информации о статусе сертификата на момент подписания. Подходит для внутреннего документооборота, когда документ проверяется сразу после подписания и не хранится годами.
CAdES-T (with Timestamp)
К базовой подписи добавляется метка времени (TSP — Time Stamp Protocol) от доверенного сервера. Метка фиксирует дату и время подписания с точностью до секунды. Подходит для документов, где важно доказать момент подписания — контракты, оферты, заявки на торги.
CAdES-XLong Type 1 (Extended Long-term)
Включает всё из CAdES-T плюс OCSP-ответ (подтверждение что сертификат не отозван на момент подписания) и полную цепочку сертификатов до корневого. Подпись проверяется даже после истечения срока сертификата подписанта. Для кадровых документов с длительным сроком хранения (приказы — 75 лет, трудовые договоры — 50 лет) — оптимальный выбор.
CAdES-A (Archival)
Архивная подпись. Позволяет переподписывать документ при смене криптоалгоритмов. Когда ГОСТ 34.10-2012 устареет и его заменит новый стандарт — CAdES-A можно будет усилить новым алгоритмом без потери юридической значимости. «Ухаживание за подписью» — так это называют на профессиональном сленге.
Мария Ж, судебный эксперт по трудовому праву:
«Для кадровых документов в КЭДО я рекомендую CAdES-XLong Type 1 как минимум. Представь ситуацию: через 3 года бывший сотрудник идет в суд оспаривать увольнение. Суд запрашивает электронный приказ. Если подпись была CAdES-BES — сертификат директора уже трижды перевыпущен, проверить подпись невозможно. А CAdES-XL содержит все данные внутри себя — проверяется автономно.»
Настройка форматов CAdES, серверов TSP и OCSP требует понимания криптографической инфраструктуры. Если вы внедряете КЭДО и хотите, чтобы все кадровые документы подписывались корректно с первого раза — специалисты Добыто настроят профили подписания под ваши задачи и проведут обучение кадровиков.
Типичные ошибки при подписании PDF в формате SIG
Ошибки при формировании .sig-подписи делятся на два типа: те, которые видны сразу (программа выдает ошибку), и те, которые обнаруживаются только при проверке на стороне получателя. Вторые опаснее — ты уверен что всё подписал, а через неделю приходит отказ с торговой площадки.
Ошибка «Сертификат не найден» или «Нет закрытого ключа»
КриптоАРМ видит сертификат в хранилище, но при попытке подписать выдает ошибку. Причина — закрытый ключ не привязан к сертификату. Такое бывает если установили сертификат через certmgr.msc вручную, минуя КриптоПро CSP. Решение: открыть КриптоПро CSP → вкладка «Сервис» → «Просмотреть сертификаты в контейнере» → выбрать контейнер на токене → «Установить».
Подпись сформирована, но не проходит проверку
Три основных причины. Первая — не установлены промежуточные сертификаты УЦ. Цепочка доверия обрывается. Вторая — файл PDF был изменен после подписания (даже открытие и пересохранение в Adobe Reader меняет метаданные). Третья — несовпадение кодировки: подписал в DER, а проверяющая сторона ожидает BASE64.
Ошибка «Алгоритм не поддерживается»
С 1 апреля 2026 года ФНС перешла на новые криптоалгоритмы ГОСТ 34.12-2018 и 34.13-2018. Если CSP устаревшей версии (ниже 5.0 R2) — он не поддерживает эти алгоритмы. Решение: обновить КриптоПро CSP до актуальной версии.
Файл .sig создается, но имеет нулевой размер
Проблема с правами доступа к контейнеру закрытого ключа или с PIN-кодом токена. Проверь: не заблокирован ли PIN (после 10 неудачных попыток Рутокен блокируется). Сброс блокировки — через PUK-код или администраторский PIN.
Образцы документов для работы с электронной подписью
Открыть список документов
| Документ | Скачать |
|---|---|
| Памятка по настройке КЭП для налоговой | Скачать |
| Инструкция по установке ЭЦП на компьютер | Скачать |
| Ответы на вопросы об установке ЭЦП | Скачать |
| Руководство пользователя Добыто КЭДО | Скачать |
| Методические рекомендации по внедрению ЭДО | Скачать |
| Криптографическая защита информации (ГОСТ) | Скачать |
| Приказ о введении КЭДО (образец) | Скачать |
| Шаблон соглашения по ЭДО | Скачать |
| Приказ о КЭДО (образец) | Скачать |
| Примерная форма трудового договора | Скачать |
Альтернативные способы подписания PDF в формате SIG
КриптоАРМ ГОСТ — не единственный вариант. Есть и другие программы, которые формируют .sig к PDF-документам.
Контур.Крипто (онлайн)
Веб-сервис от СКБ Контур. Работает через браузер, требует установленный КриптоПро CSP и Browser Plug-in. Подписывает файлы до 100 МБ, формирует открепленную подпись CAdES-BES. Бесплатно. Ограничение — только базовый формат, без TSP и OCSP.
Добыто.Подпись (онлайн)
Сервис создания открепленной электронной подписи через браузер. Интегрирован с КЭДО-платформой Добыто. Подписанные документы автоматически сохраняются в электронном архиве с привязкой к карточке сотрудника. Для компаний, которые уже используют Добыто для кадрового документооборота — подписание происходит внутри системы без дополнительных программ.
Командная строка certutil / cryptcp
Для автоматизации массового подписания. Подходит для ситуаций, когда нужно подписать десятки или сотни PDF одной командой через bat-скрипт или PowerShell. За 5 минут кадровик «подписывает» 200 приказов скопом — вручную это заняло бы полдня.
Как проверить созданную SIG-подпись
После подписания обязательно проверь результат. Не отправляй документ получателю, пока не убедишься что .sig валиден. Три способа проверки.
Через КриптоАРМ ГОСТ: открой программу → «Проверить» → выбери .sig-файл → программа автоматически найдет исходный PDF (если он в той же папке) и покажет результат. Зеленая галочка — подпись валидна. Красный крест — проблема.
Через портал Госуслуг: раздел «Электронная подпись» → загрузи оба файла (PDF и .sig) → система проверит цепочку сертификатов, срок действия и целостность. Работает с УКЭП, выданными аккредитованными УЦ.
Через сервис проверки ЭП на Госуслугах — бесплатно, доступно круглосуточно. Результат проверки можно сохранить как протокол.
Мария Ж, HR-эксперт с 13-летним стажем:
«Мы рекомендуем проверять каждый .sig сразу после создания — до отправки. В нашей практике были случаи, когда кадровик подписал 50 приказов, отправил в архив, а через месяц выяснилось что на токене был просроченный серт. Все 50 подписей невалидны. Переподписывать 50 документов задним числом — отдельная история с ГИТ.»
Подписание PDF через КриптоПро PDF (встроенная подпись) — когда SIG не нужен
Не всегда нужен именно .sig. Для внутреннего документооборота, КЭДО и обмена с контрагентами через ЭДО-операторов (Диадок, СБИС) подходит встроенная подпись через плагин КриптоПро PDF.
Плагин КриптоПро PDF — бесплатное расширение для Adobe Acrobat Reader DC. После установки в меню Reader появляется раздел «Инструменты» → «Сертификаты» → «Цифровая подпись». Выделяешь область на странице PDF, выбираешь сертификат, подписываешь. Подпись визуализируется как «штампик» прямо на документе — удобно для визуального подтверждения.
Когда использовать встроенную подпись вместо .sig: внутренние кадровые документы в КЭДО, обмен договорами с контрагентами через КриптоПро PDF, подписание локальных нормативных актов для ознакомления сотрудников.
Стоимость подписания PDF в формате SIG: программы и сервисы в 2026 году
Стоимость подписания складывается из цены криптопровайдера, программы для подписания и сертификата УКЭП. Для разовых задач можно обойтись бесплатными инструментами, для систематической работы с документами понадобится лицензия.
| Компонент | Стоимость | Условия |
|---|---|---|
| КриптоПро CSP 5.0 (бессрочная лицензия) | от 2 700 руб. | На 1 рабочее место |
| КриптоАРМ ГОСТ 3 (лицензия) | от 1 200 руб. | На 1 рабочее место |
| Контур.Крипто (онлайн) | Бесплатно | CAdES-BES, до 100 МБ |
| Сертификат УКЭП (ФНС) | Бесплатно | На 15 месяцев |
| КЭДО Добыто (тариф Старт) | от 30 руб./сотр./мес | До 25 сотрудников, ПЭП и УНЭП |
| КЭДО Добыто (тариф Бизнес) | от 50 руб./сотр./мес | Мин. 50 сотр., 30 000 руб./год |
| КЭДО Добыто (Корпорация) | По запросу | SLA 99.9%, выделенный сервер |
Итоговая стоимость зависит от задач. Для единичного подписания PDF на торговую площадку хватит бесплатного Контур.Крипто + бесплатный сертификат ФНС + 90-дневный триал КриптоПро CSP. Для системной работы с кадровыми документами — актуальные тарифы сервиса Добыто включают подписание, хранение и проверку ЭП в одном сервисе без отдельных лицензий на КриптоАРМ.
Мария Ж, юрист со стажем более 20 лет:
«Часто спрашивают: зачем платить за КЭДО, если можно подписывать бесплатно через Контур.Крипто? Можно. Но когда у тебя 200 сотрудников и 15 видов кадровых документов — подписывать каждый файл вручную через веб-сервис физически невозможно. КЭДО автоматизирует маршрут: документ создается, уходит на подпись, подписывается, архивируется — без участия кадровика на каждом этапе.»
Юридическая значимость SIG-подписи
Открепленная подпись в формате .sig имеет такую же юридическую силу, как и любая другая форма УКЭП — это прямо следует из ст. 6 Федерального закона 63-ФЗ «Об электронной подписи». Формат хранения подписи (встроенная, открепленная, в контейнере) не влияет на её правовой статус. Значение имеет только то, создана ли подпись сертифицированным средством ЭП и содержит ли квалифицированный сертификат.
В судебной практике .sig-файлы принимаются как доказательство подписания. Суд исследует пару файлов (документ + .sig), назначает экспертизу при необходимости, проверяет валидность подписи на момент подписания. Формат CAdES-XL упрощает экспертизу — все данные для проверки содержатся внутри .sig, не нужно обращаться к внешним серверам.
Мы в Добыто храним все .sig-файлы в электронном архиве с привязкой к документу. При проверке ГИТ предоставляем инспектору доступ к системе — он видит документ, подпись, дату подписания и цепочку согласования. За 3 года ни одной претензии к юридической значимости электронных кадровых документов.
Выводы: подписание PDF в формате SIG через КриптоПро
Подписание PDF файла в формате SIG через КриптоПро требует двух основных компонентов: КриптоПро CSP 5.0 (криптопровайдер) и КриптоАРМ ГОСТ 3 (программа формирования подписи). Формат CAdES определяет срок валидности подписи: CAdES-BES для оперативных задач, CAdES-XLong Type 1 для документов с длительным сроком хранения. Для кадровых документов в КЭДО рекомендуется CAdES-XL как минимум — это обеспечит проверяемость подписи через годы после подписания.
При подписании критически важно: не изменять исходный PDF после создания .sig, хранить оба файла вместе, проверять валидность подписи до отправки получателю. Типичные ошибки — отсутствие привязки закрытого ключа к сертификату, устаревшая версия CSP, неустановленные промежуточные сертификаты УЦ.
Для компаний с числом сотрудников от 50 ручное подписание через КриптоАРМ становится узким местом. Автоматизация через КЭДО-сервисы снимает нагрузку с кадровика: документы подписываются по маршруту, .sig формируются автоматически, архив хранится в защищенном хранилище с доступом для проверки ГИТ.
Часто задаваемые вопросы
Можно ли подписать PDF в формате SIG без КриптоАРМ?
Какой формат CAdES выбрать для подписания PDF?
Чем отличается .sig от .sgn?
Можно ли подписать PDF одновременно встроенной подписью и открепленной .sig?
Как подписать PDF в формате SIG на MacOS или Linux?
Что делать если получатель не может проверить мой .sig файл?
Можно ли подписать PDF в .sig с телефона?
Сколько PDF можно подписать одним сертификатом УКЭП?
Как подписать несколько PDF в формате SIG одновременно?
Нужна ли лицензия КриптоПро CSP для проверки .sig файла?
Что такое DER и BASE64 кодировка при создании .sig?
Как хранить подписанные PDF с .sig файлами?
Подписание PDF в формате SIG — рутинная операция для кадровиков, бухгалтеров и юристов. Но когда документов десятки и сотни ежедневно, ручной процесс через КриптоАРМ перестает работать. Сервис КЭДО Добыто автоматизирует подписание кадровых документов: маршруты согласования, формирование .sig к каждому документу, хранение в электронном архиве с доступом для ГИТ.
За время работы сервиса мы подключили более 500 компаний к КЭДО — от ритейла с 3000 сотрудников до IT-компаний со штатом 50 человек. Каждый проект начинается с пилотной группы на 2-3 недели.
- Поддержка всех трех видов подписей — ПЭП, УНЭП, УКЭП — для любого кадрового процесса
- Готовый коннектор с 1С (ЗУП, КА, ERP, бухгалтерия) — ставится за час без привлечения разработчиков
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках ГИТ и в суде
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора с провайдером
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Массовая выдача подписей одним нажатием — при приеме нового отдела не нужно оформлять каждого сотрудника поштучно