Как подписать XML отчётность электронной подписью в 2026

Подписать XML отчётность электронной подписью нужно отсоединённой УКЭП в формате PKCS#7 — именно так файл декларации или расчёта принимают и ФНС, и Социальный фонд. Тут разберёмся, какой именно подписью подписывать выгруженный из учётной программы XML, чем отсоединённая подпись отличается от присоединённой, почему файл получает расширение .sig или .p7s и что меняется в требованиях к сертификату с сентября 2026 года. Сэкономите время на разборе отказов от приёмного комплекса и не будете гадать, почему контейнер не уходит. Это часть большого материала про то, как подписать XML-файл электронной подписью, где разобраны все сценарии — от подписи произвольного XML до формирования транспортного контейнера для портала ведомства.

Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.

Автор статьи

Мария Ж.

Кофаундер сервиса электронного документооборота Добыто

Кофаундер сервиса электронного документооборота Добыто. Юрист с 20 летней практикой. В 2008 году получала красный диплом юриста по корпоративной практике. Руководитель HR-отдела. Спикер на конференциях по КЭДО и юриспруденции.

Какой электронной подписью подписывают XML отчётность

Отчётность в ФНС и СФР подписывают усиленной квалифицированной электронной подписью — УКЭП. Никакая ПЭП и никакая НЭП тут не подойдут. Логика простая: декларация, расчёт по взносам, ЕФС-1 — это документы, по которым налоговый орган и фонд принимают юридически значимое решение, поэтому закон требует именно квалифицированную подпись, равнозначную собственноручной без всяких дополнительных соглашений. Это прямое следствие 63-ФЗ, той самой «тройки», которая действует уже почти 20 лет и за это время несколько раз переписывалась.

Кто подписывает. По общему правилу — руководитель организации или индивидуальный предприниматель своим сертификатом, выпущенным в Удостоверяющем центре ФНС (для юрлиц и ИП он бесплатный, выдаётся в инспекции на токен). Если отчёт подписывает или отправляет не директор, а бухгалтер или представитель, то с 2025 года к отчёту прикладывают машиночитаемую доверенность — МЧД, «эмчедэшку». Сам файл МЧД, кстати, директор тоже подписывает отсоединённой УКЭП, формат тот же самый. Бумажные доверенности и старый формат УПУП фонды больше не принимают.

Термин «ЭЦП» из старого закона давно заменён на «ЭП», но в обиходе все по привычке говорят «ЭЦП», «флешка с подписью», «серт». Я тоже иногда так говорю, ничего страшного. Юридически правильно — электронная подпись, квалифицированный сертификат ключа проверки электронной подписи. Но когда бухгалтер говорит «подпиши XML своей ЭЦП», все понимают, о чём речь.

Мария Ж, специалист по цифровой подписи и КЭДО:
«Самая частая путаница — люди думают, что раз НЭП можно получить бесплатно в личном кабинете налоговой, то ей и отчётность сдавать. Нет. НЭП из ЛК физлица работает строго внутри этого кабинета, для 3-НДФЛ за себя. А вот корпоративную отчётность по ТКС — только квалифицированной подписью руководителя, и это не обсуждается.»

Отсоединённая и присоединённая подпись: в чём разница для XML

Электронная подпись бывает двух видов по способу хранения. Присоединённая — когда подпись включается внутрь файла, упаковывается вместе с подписанными данными в один контейнер. Отсоединённая — когда подпись лежит рядом, отдельным файликом. Для XML-отчётности нужна именно отсоединённая.

Почему так. Приёмный комплекс ведомства должен прочитать сам XML — проверить его по XSD-схеме, провести форматно-логический контроль, визуализировать содержимое. Если подпись запихнуть внутрь, как при присоединённом варианте, исходная структура XML нарушится, и схема его просто не пропустит. Поэтому декларацию выгружают как чистый XML, а рядом кладут файл подписи. На выходе получается пара: otchet.xml и otchet.xml.sig (или .p7s — это одно и то же по сути, файл присоединённой… вернее, отсоединённой подписи в формате PKCS#7).

Технически отсоединённая подпись для XML — это контейнер PKCS#7, он же CMS (Cryptographic Message Syntax). Внутри лежит не сам документ, а его криптографическое значение плюс сертификат подписанта и служебные данные. Усовершенствованные форматы — CAdES — добавляют сверху метку времени и доказательства, нужные для долгого хранения, но для разовой сдачи отчёта хватает базового CMS.

Мария Ж, судебный эксперт по трудовому праву:
«Когда мне приносят спор по поводу ‘а был ли подписан документ’, первое, что я смотрю — это связка файла и его подписи. Отсоединённая подпись хороша тем, что её невозможно незаметно отвязать: если в XML поменяли хоть один символ, проверка криптографического значения сразу даёт затык. Это и есть та самая защита от подмены данных, ради которой всё затевалось.»

Как подписать XML-файл отчётности отсоединённой подписью: пошаговая инструкция

Чем подписать XML: программы и сервисы

Инструментов хватает, и выбор зависит от того, сколько отчётов вы гоняете и где привыкли работать.

КриптоАРМ ГОСТ 3 — универсальное средство подписи на десктопе. Традиционно его и используют, чтобы сдать или отправить отчётность в электронном виде в госорганы: готовую отчётность подписывают личным сертификатом, а затем при необходимости шифруют сертификатом открытого ключа ведомства, который специально указывается для шифрования. В разделе «Документы» настраивается профиль подписи, и каждый раз выбранный профиль применяется автоматически — удобно, когда подписываешь скопом пачку файлов. Работает на Windows, Linux, macOS и отечественных ОС, сертифицирован ФСБ в составе КриптоПро CSP 5.0 R3.

Веб-сервисы подойдут тем, кто хочет быстро и без лишних установок подписать документ любого формата. Контур.Крипто, Saby Crypto и аналогичные дают создать и проверить ЭП, зашифровать файл прямо в браузере. Нужен установленный криптопровайдер и браузерный крипто-плагин. Это вариант для разовой задачи, когда не хочется ставить отдельную программу.

Сервисы спецоператоров и системы ЭДО — Контур.Экстерн, СБИС («сбис»), Такском, 1С-Отчётность. Здесь подпись встроена в процесс отправки: загружаемый XML автоматически сверяется с утверждённой ФНС XSD-схемой ещё до отправки, и риск получить отказ из-за кривого формата заметно ниже. Для регулярной сдачи это самый спокойный путь. В сервисе Добыто.Подпись мы реализовали онлайн-подписание так, чтобы пользователь не разбирался в форматах вручную — выбрал файл, выбрал сертификат, получил готовую отсоединённую подпись.

Мария Ж, соучредитель сервиса КЭДО Добыто:
«За время работы мы насмотрелись, как люди подписывают отчёт присоединённой подписью, потому что ‘программа так предложила по умолчанию’, а потом получают отказ. Поэтому в Добыто.Подпись мы вынесли выбор отсоединённого варианта на видное место и заранее проверяем кодировку XML. Мелочь, а экономит человеку полдня нервов.»

Образцы документов для работы с электронной подписью

Транспортный контейнер: как XML с подписью уходит в ФНС

Просто подписать XML мало — его надо ещё правильно упаковать и отправить. ФНС принимает отчётность не россыпью файлов, а в транспортном контейнере. Это файл (по сути архив), который содержит сам документ информационного взаимодействия, файлы ЭЦП к нему и реквизиты шифрования. Все криптографические преобразования внутри выполняет СКЗИ — криптопровайдер.

Структура такая. Транспортный контейнер вкладывается в транспортное сообщение, у которого свои обязательные поля: идентификатор отправителя, идентификатор получателя, тип передаваемой информации, имя отправителя — всё это в кодировке Windows-1251 или Base64. Имя файла транспортного контейнера совпадает с именем вложенного документа. Файлы подписи содержат электронные подписи документа, сформированные лицами с правом подписи.

Если вы сдаёте через спецоператора, контейнер собирается автоматически — вы об этом даже не думаете. Если через сайт ФНС напрямую, через сервис «Представление налоговой и бухгалтерской отчётности», контейнер формируете сами в программе «Налогоплательщик ЮЛ»: кнопка «Выгрузить ТК для портала ФНС», выбираете сертификат для подписи, и на выходе получаете готовый архив. Дальше авторизуетесь в сервисе сертификатом и загружаете файл.

Требования к кодировке и XSD-схеме XML

Два момента, на которых спотыкаются буквально все.

Кодировка. Первая строка XML-файла отчётности должна выглядеть так: <?xml version="1.0" encoding="windows-1251"?>. Это жёсткое требование формата. Если файл сохранён в UTF-8 — а многие редакторы по умолчанию ставят именно её — приёмный комплекс выдаёт отказ с формулировкой, что допускается только windows-1251. Проверить просто: открываете XML в Блокноте и смотрите значение encoding в первой строке. Логику в этом требовании искать бессмысленно, его нужно просто выполнить.

XSD-схема. Каждый формат отчёта описан XSD-схемой ФНС — она задаёт, какие элементы и в каком порядке должны быть в XML. Перед подписанием убедитесь, что версия формата актуальна. Учётные программы и сервисы спецоператоров сверяют выгруженный XML со схемой автоматически — и это сильно снижает риск отказа. Самостоятельная выгрузка из старой версии программы — классический затык: формат поменялся, а вы отправили по-старому.

Мария Ж, юрист со стажем более 20 лет:
«Подпись подписью, но если XML кривой по схеме или в utf-8 — никакая, даже идеально валидная УКЭП его не спасёт. Сначала корректный файл по актуальной схеме и в нужной кодировке, потом подпись. Перепутаете порядок — будете гонять отказы по кругу.»

Новые требования к сертификату для отчётности с 2026 года

Тут важное изменение, которое стоит держать в голове прямо сейчас. С 1 сентября 2026 года Социальный фонд России прекратит приём отчётности, подписанной квалифицированным сертификатом без специальных параметров в области использования ключа. Сертификат должен содержать: «Согласование ключей» (keyAgreement) = 1, «Шифрование данных» (Data encipherment) = 1, «Шифрование ключа» (Key encipherment) = 1.

Что это значит на практике. Старый сертификат, которым вы сдавали ЕФС-1 в начале 2026 года, после 1 сентября может перестать приниматься фондом. Чтобы продолжить сдавать отчётность через спецоператоров, нужно заранее обратиться в аккредитованный Удостоверяющий центр и выпустить новый серт с этими обязательными параметрами. СФР даже рекомендует распечатать текст с требованиями и предъявить его специалистам УЦ при выпуске. На сдачу отчётности в ФНС это требование напрямую не распространяется, но если у вас единый сертификат руководителя на всё — обновите заранее, чтобы не остаться без подписи в самый неподходящий момент перед отчётной датой.

За нарушение порядка сдачи — санкции. За непредставление или просрочку ЕФС-1 штраф составляет 500 рублей за каждого застрахованного работника. А если организация со штатом больше 10 человек сдаст отчёт на бумаге вместо электронного формата — его сочтут непредставленным, плюс штраф 1000 рублей по статье 17 закона № 27-ФЗ. На текущий момент свыше 80% страхователей уже перешли на электронное взаимодействие с фондом.

Стоимость подписания и проверки XML в сервисе Добыто

Стоимость зависит от того, нужна вам разовая подпись или регулярная работа с отчётностью и кадровыми документами в рамках сервиса. Тарифы Добыто КЭДО считаются за рабочее место в месяц, набор функций и поддержка отличаются по тарифам.

Итоговая сумма зависит от численности персонала, выбранного тарифа и объёма подключаемых модулей — актуальные тарифы сервиса Добыто помогут сориентироваться точнее. Для разовой проверки и подписания файла отдельная подписка не нужна.

Типичные ошибки при подписании XML отчётности

Подписали присоединённой подписью вместо отсоединённой. Делают так, потому что программа предложила этот вариант по умолчанию, а человек не вчитался. Цена ошибки — отказ приёмного комплекса и потерянное время на переподписание перед дедлайном. Лечится одной галочкой «отсоединённая» в настройках.

Сохранили XML в UTF-8. Текстовый редактор поставил свою кодировку, и отчёт не прошёл по формату. Цена ошибки — отказ «допускается только windows-1251», пересохранение файла, повторная выгрузка. Проверяйте первую строку файла до подписи.

Сертификат без нужных параметров для СФР. С 1 сентября 2026 года фонд требует серт с областью использования «Согласование ключей». Если выпустить обычный сертификат — отчётность в СФР после этой даты не уйдёт. Цена ошибки — срочный перевыпуск подписи и риск сорвать срок сдачи.

Отправили без МЧД, когда подписывает не директор. Бухгалтер подписал своим сертификатом, доверенность не приложил — отчёт отклонён. Цена ошибки — оформление МЧД задним числом не работает, нужно успеть до отправки.

Выводы: как правильно подписать XML отчётность

XML-отчётность в ФНС и СФР подписывают усиленной квалифицированной электронной подписью руководителя или представителя по МЧД. Подпись должна быть отсоединённой — файл .sig или .p7s в формате PKCS#7 лежит рядом с XML, не нарушая его структуру, чтобы приёмный комплекс мог проверить документ по XSD-схеме. Перед подписанием критично проверить два момента: кодировку файла (только windows-1251, не UTF-8) и актуальность формата по схеме ведомства.

Самый спокойный путь для регулярной сдачи — спецоператор или система ЭДО, где XML автоматически сверяется со схемой ещё до отправки, а транспортный контейнер собирается без вашего участия. Для разовой задачи подойдёт КриптоАРМ или веб-сервис подписи. Главное — не перепутать порядок: сначала корректный XML по актуальной схеме и в нужной кодировке, потом отсоединённая подпись.

Ключевое изменение на горизонте — требование СФР к сертификату с 1 сентября 2026 года. Сертификат должен содержать параметры «Согласование ключей», «Шифрование данных» и «Шифрование ключа». Проверьте свой серт заранее и при необходимости перевыпустите в аккредитованном УЦ, чтобы не остаться без рабочей подписи перед отчётной датой. Штрафы за непредставление ЕФС-1 — 500 рублей за каждого работника, так что цена забытого обновления вполне ощутимая.

Часто задаваемые вопросы