Подписать защищённый PDF электронной подписью можно тремя способами: встроенной подписью внутри самого файла, откреплённой подписью в отдельном sig-файле рядом с документом или через сертификацию, которая закрывает PDF от любых правок после визирования. Здесь разберём, чем встроенная подпись отличается от откреплённой, какой вид электронной подписи нужен для PDF с разными уровнями защиты, в каких программах подписывают такие файлы и что делать, если документ закрыт паролем или запретом на редактирование. Это часть большого материала про подписание PDF-документа УКЭП, где описан весь процесс от установки криптопровайдера до проверки готовой подписи.
Автор статьи — Мария Ж, юрист со стажем более 20 лет, соучредитель сервиса КЭДО Добыто, спикер на конференциях по КЭДО и юриспруденции, судебный эксперт в сфере корпоративного и трудового права. Занимается наймом персонала более 13 лет. Автор более 1000 статей о цифровой подписи, трудовом праве, КЭДО и HR.
Что считают защищённым PDF и почему это меняет способ подписания
Под защищённым PDF понимают два разных файла, и путать их нельзя. Первый вариант — документ, у которого стоит ограничение на редактирование, печать или копирование. Внутри такого файла прописаны разрешения, иногда дополнительно владельческий пароль. Второй вариант — PDF, закрытый паролем на открытие: пока не введёшь пароль, файл вообще не покажет содержимое. И третий случай, который чаще всего и имеют в виду профи, когда говорят про защиту — это PDF, который уже подписали и сверху закрыли сертификацией, чтобы туда больше никто ничего не дописал.
Логика подписания в каждом случае своя. Файл с паролем на открытие сначала надо открыть — без пароля криптопрограмма просто не получит доступ к содержимому, считать хэш будет не с чего. Файл с запретом на редактирование — тут хитрее. Встроенная подпись физически меняет структуру PDF, добавляет в него объект подписи. Если документ закрыт от изменений жёстко, встроить подпись внутрь не выйдет. А вот откреплённая подпись ложится рядом отдельным файликом и сам PDF не трогает вообще. Поэтому для документов с защитой от правок откреплённая подпись часто единственный рабочий путь.
Мария Ж, специалист по цифровой подписи и КЭДО:
«Первый вопрос, который я задаю, когда человек принёс защищённый PDF — а защита от чего? От открытия, от правок или это уже сертифицированный файл. Потому что для каждого случая своя крипта и свой инструмент. Народ часто тащит документ, где стоит запрет на редактирование, пытается воткнуть встроенную подпись и удивляется, почему приложение ругается. А ему просто откреплённую надо, сиг-файл рядом, и все дела.»
Какой вид электронной подписи нужен для PDF
Тут всё упирается в то, куда документ пойдёт и какая ему нужна юридическая значимость. По 63-ФЗ, который в профессиональной среде называют тройкой, есть три вида подписи: простая (ПЭП), усиленная неквалифицированная (НЭП или УНЭП) и усиленная квалифицированная (УКЭП).
ПЭП — это коды, пароли, одноразки. Она показывает, что действие совершил конкретный человек, но не гарантирует, что после подписания файл не правили. Для защищённого PDF, который уходит контрагенту или в госорган, ПЭП не годится. НЭП уже использует криптографию, фиксирует и автора, и неизменность документа, но для её признания между сторонами нужно соглашение. УКЭП — самая надёжная. Под неё нужен квалифицированный сертификат по требованиям приказа ФСБ № 795 и сертифицированное средство электронной подписи. Документ, подписанный УКЭП, равнозначен бумажному с собственноручной подписью без всяких дополнительных соглашений.
Для PDF, который защищают и отправляют наружу, в большинстве случаев берут УКЭП. Внутри компании, для своих процессов, иногда хватает НЭП — и это совсем другие денюжки для работодателя, потому что выпуск квалифицированных сертификатов на весь штат выходит заметно дороже. В сервисе Добыто мы на старте проекта всегда уточняем, какие документы куда пойдут, и только потом советуем вид подписи. Часто оказывается, что половину внутренних PDF можно закрыть НЭП и не переплачивать за квалифицированную крипту.
Встроенная и откреплённая подпись: чем отличаются для PDF
Встроенная подпись (её ещё зовут присоединённой) сидит внутри документа. Для PDF это формат PAdES — подпись становится частью файла, открываешь его в просмотрщике, и подпись там, никаких отдельных файлов таскать не надо. Удобно, когда документ ходит по рукам и важно, чтобы подпись не потерялась.
Откреплённая подпись (отсоединённая) лежит рядом — отдельный sig-файл в формате CMS или PKCS#7. Сам PDF при этом остаётся как был, байт в байт. Это и есть тот случай, когда защищённый от правок документ подписывают, не нарушая его защиту. Минус один: теперь надо передавать два файла — оригинал и подпись. Потеряешь sig-файл, проверить подпись будет нечем. Если интересен сам механизм, мы подробно разбирали, как создать отсоединённую подпись в КриптоПро — там пошагово по галочкам в мастере.
Для архивного хранения и для документов, которые должны пережить смену сертификата, подпись усиливают меткой времени и статусами сертификатов. Получается усовершенствованная подпись — CAdES или PAdES расширенных типов, со штампом времени Type 1 и архивной меткой. Без метки времени потом не докажешь, в какой момент подписан документ, а это критично, когда сертификат уже протух, а спор по документу всплыл через год-два.
Мария Ж, судебный эксперт по трудовому праву:
«В суд несут распечатку PDF с красивым штампиком — мол, вот, подписано электронной подписью. А этот штампик ничего не значит. Это просто картинка, плашечка для глаза. Юридическую значимость несёт электронный оригинал с файлом подписи, который можно проверить. Поэтому я всегда говорю: выгружайте архив — сам документ, сиг-файл, метку времени. Бумажка со штампиком в споре не работает.»
Программы, в которых подписывают защищённый PDF
Подписать PDF можно в нескольких инструментах, и они реально отличаются по возможностям. Это важно, потому что не каждая программа умеет встроенную подпись в PDF и не каждая умеет сертификацию.
КриптоАРМ ГОСТ 3 — универсальное приложение для подписи и шифрования, у него даже свой почтовый клиент есть. Но встроенной подписи PDF в третьей версии нет. Она появилась в КриптоАРМ 6, где добавили мастер подписи и защиты PDF плюс встроенный просмотрщик документов, как в Acrobat Reader. Загружаешь PDF, жмёшь подписать и защитить, настраиваешь штамп — ширину, высоту, на каких страницах он встанет — и получаешь подписанный файл со встроенной визуализацией.
Крипто Эксперт от CrypteX тоже умеет подпись и проверку PDF, поддерживает сертификацию, усовершенствованную подпись CAdES-X Long Type 1, архивные метки и работу с МЧД. Adobe Reader подписывает PDF при настроенной российской крипте через плагин. И, конечно, подписать можно онлайн — без установки тяжёлого софта, прямо в браузере, что особенно выручает, когда подписать надо разово.
Если выбираете инструмент под конкретную задачу, у нас есть отдельный разбор — программы для подписания документов ЭЦП с их сильными и слабыми сторонами. А в сервисе Добыто кадровые PDF сотрудники подписывают прямо в интерфейсе или с телефона, без отдельной установки криптопровайдера на каждое рабочее место — подпись формируется на стороне сервиса, человеку приходит пуш и он подписывает в пару касаний.
Как подписать защищённый PDF электронной подписью: пошаговая инструкция
Показать пошаговую инструкцию
- Шаг 1. Определите тип защиты PDF: пароль на открытие, запрет на редактирование или уже сертифицированный файл. От этого зависит способ подписания.
- Шаг 2. Установите криптопровайдер (КриптоПро CSP актуальной версии) и подключите носитель с сертификатом — токен, флешку или сертификат в реестре.
- Шаг 3. Если PDF закрыт паролем на открытие — введите пароль и снимите ограничение на просмотр, иначе программа не получит доступ к содержимому.
- Шаг 4. Выберите способ подписи: встроенная (PAdES) для свободного PDF либо откреплённая (sig-файл) для документа с защитой от правок.
- Шаг 5. Откройте файл в КриптоАРМ 6, Крипто Эксперт или другом инструменте с поддержкой подписи PDF, выберите свой сертификат и при необходимости настройте визуальный штамп.
- Шаг 6. Добавьте метку времени, если документ пойдёт в архив или может понадобиться через годы.
- Шаг 7. Подпишите. При необходимости защитите файл сертификацией — после неё внести правки уже не получится.
- Шаг 8. Проверьте подпись — в самой программе или онлайн, и сохраните оригинал вместе с файлом подписи.
Сертификация PDF: как закрыть документ от изменений после подписи
Сертификация — отдельная процедура, которую часто путают с обычным подписанием. После того как PDF подписали, на него накладывают сертификацию, и документ становится защищённым от добавления любых последующих подписей. Можно оставить одну разрешённую область — например, если документу нужны две подписи, под вторую заранее задают место, а всё остальное блокируют. Любое изменение сверх разрешённого нарушает сертификацию, и документ становится недействительным.
Зачем это нужно. Сертификация фиксирует финальный вид документа. Подписали, закрыли — и уже никто не дорисует страницу, не добавит подпись в неположенном месте, не подменит содержимое. Для PDF, который уходит контрагенту или в инстанцию, это серьёзная страховка. Такую защиту дают КриптоАРМ 6, Крипто Эксперт и Крипто PDF.
Мария Ж, специалист по трудовому праву:
«Сертификация — это как запаять документ. Подписал, закрыл, и больше туда никто не залезет. Особенно полезно, когда документ многоступенчатый и ты точно знаешь, кто и куда ставит подпись. Один наш клиент так закрыл свои регламенты: подписал, сертифицировал, и сотрудники физически не могли подсунуть отредактированную версию. Грабли при согласовании сразу кончились.»
Если на этом месте вы поняли, что защита PDF, выбор между встроенной и откреплённой подписью, метки времени и сертификация — это уже не про разовое подписание, а про настройку процесса на весь поток документов, имеет смысл не собирать конструктор вручную. Наши специалисты настраивают подписание PDF под конкретный документооборот компании: какой вид подписи на каком этапе, где нужна сертификация, как хранить файлы подписи для проверок.
Следите за нашими каналами
Никакой воды — только важное и новости первыми.
Образцы документов и памятки по электронной подписи
Открыть список документов
Типичные ошибки при подписании защищённого PDF
Первая ошибка — пытаться встроить подпись в PDF, защищённый от редактирования. Делают так ради единого файла, чтобы не таскать sig-файл отдельно. Цена ошибки: программа выдаёт сбой, время потеряно, а в худшем случае человек снимает защиту с документа, нарушая исходные требования к нему. Решение простое — откреплённая подпись, она не трогает файл.
Вторая ошибка — подписывать без метки времени документ, который ляжет в архив. Мотив понятен: метка времени это дополнительный шаг и дополнительные плюшки от удостоверяющего центра. Цена ошибки всплывает через год, когда сертификат истёк, а доказать момент подписания нечем. По законодательству усовершенствованная подпись со штампом времени даёт срок проверки до 18 лет — три года срок действия ключа плюс пятнадцать лет.
Третья ошибка — принимать распечатку со штампиком за юридически значимый документ. Визуализация подписи это копия PDF с нарисованной плашкой, она удобна для глаза, но сама по себе никакой силы не несёт. Нужен электронный оригинал с файлом подписи, который проверяется. Эту мысль подтверждает и судебная практика по трудовым спорам — в деле Винлаба и в деле Сбера суды смотрели именно на электронные оригиналы и файлы подписи, а не на красивые штампы.
Мария Ж, HR-эксперт с 13-летним стажем:
«Самый частый затык у эйчаров — забывают про метку времени. Подписали кадровый PDF, год прошёл, серт протух, а тут проверка или спор. И всё, доказать когда подписали нечем. Поэтому я говорю: накрутите штамп времени сразу, это копейки по сравнению с тем головняком, который огребёте потом. За время работы сервиса Добыто мы это правило вшили в процесс по умолчанию.»
Проверка подписи и стоимость сервиса электронной подписи Добыто
После подписания защищённый PDF проверяют — чтобы убедиться, что подпись действительна, сертификат не отозван, а файл не меняли. Проверить можно в самой программе подписания, на портале Госуслуг или онлайн. Государственный сервис проверки доступен на странице проверки электронной подписи на Госуслугах — туда загружаешь документ и файл подписи, система показывает результат.
Подписать документ электронной подписью онлайн
Стоимость сервиса зависит от численности штата, выбранного тарифа и набора подключаемых функций — подписей, шаблонов, интеграции и электронного архива. Ниже актуальные тарифы Добыто КЭДО, через который подписывают и кадровые PDF.
| Тариф | Стоимость | Условия |
|---|---|---|
| Старт — до 25 сотрудников, ПЭП и УНЭП, базовые шаблоны, email-поддержка | от 30 ₽ за сотрудника / мес | небольшие компании |
| Бизнес — неограниченно сотрудников, ПЭП, УНЭП и УКЭП, кастомные шаблоны, интеграция с 1С, электронный архив | от 50 ₽ за сотрудника / мес | минимальная оплата 50 сотрудников за 30 000 ₽ в год |
| Корпорация — всё из тарифа Бизнес, выделенный сервер, SLA 99.9%, персональный менеджер, API | По запросу | крупный бизнес |
Итоговая сумма зависит от того, какие виды подписи нужны и подключаете ли вы интеграцию и архив. Тариф Старт закрывает ПЭП и УНЭП, для УКЭП понадобится Бизнес. Чтобы посчитать точно под свой штат, посмотрите актуальные тарифы сервиса Добыто — там калькулятор по количеству сотрудников.
Выводы: подписание защищённого PDF электронной подписью
Защищённый PDF бывает трёх типов, и способ подписания зависит от типа. Файл с паролем на открытие сначала открывают, файл с запретом на правки подписывают откреплённой подписью в sig-файле, а готовый документ закрывают сертификацией. Встроенная подпись формата PAdES удобна, когда документ ходит по рукам, откреплённая — когда нельзя трогать исходный файл. Для PDF во внешнем документообороте обычно нужна УКЭП по 63-ФЗ, для внутренних процессов иногда хватает НЭП.
Метку времени добавляйте сразу, если документ пойдёт в архив или может понадобиться через годы — усовершенствованная подпись со штампом времени держит срок проверки до 18 лет. Не путайте визуализацию подписи с юридической значимостью: распечатка со штампом ничего не доказывает, нужен электронный оригинал с файлом подписи. Подписать PDF можно в КриптоАРМ 6, Крипто Эксперт, Adobe Reader с российской криптой или онлайн, а проверить — на Госуслугах или в самой программе.
Подписывают защищённый PDF и встроенными инструментами, и через сервисы, где подпись формируется без установки криптопровайдера на каждое рабочее место. Для потока документов второй вариант экономит время инженеров и убирает ручную возню с настройкой плагинов.
Часто задаваемые вопросы
Можно ли подписать PDF, защищённый от редактирования, не снимая защиту?
Что делать, если PDF закрыт паролем на открытие?
Чем встроенная подпись PDF отличается от откреплённой?
Какой вид электронной подписи нужен для PDF?
Что такое сертификация PDF и зачем она нужна?
В какой программе подписать защищённый PDF?
Зачем добавлять метку времени при подписании PDF?
Имеет ли юридическую силу распечатка PDF со штампом подписи?
Как проверить подпись на защищённом PDF?
Можно ли поставить на PDF две электронные подписи?
Можно ли подписать PDF с мобильного телефона?
Нужно ли устанавливать сторонний софт для подписи PDF?
Разовое подписание защищённого PDF можно собрать руками — поставить криптопровайдер, выбрать программу, разобраться с встроенной и откреплённой подписью. Но когда документов поток, а подписывать должны десятки сотрудников с разных устройств, ручная настройка превращается в постоянную возню с плагинами и сертификатами.
Сервис Добыто закрывает подписание PDF под весь документооборот компании. Мы определяем, где нужна встроенная подпись, где откреплённая, где сертификация, настраиваем метки времени и хранение файлов подписи для проверок. За время работы мы подключили сотни компаний и каждый раз настраиваем процесс под конкретные документы заказчика.
- Поддержка всех трёх видов подписей — ПЭП, УНЭП, УКЭП — для любого типа PDF
- Мобильное приложение для подписания документов с телефона — в командировке, в отпуске, без похода в офис
- Вся цепочка подписей фиксируется с отметками времени — защита при проверках и в суде
- Юридическая значимость по 63-ФЗ и 377-ФЗ — электронный документ равносилен бумажному
- Хранение документов до 50 лет — доступ к архиву сохраняется даже при расторжении договора
- Готовый коннектор с 1С (ЗУП, КА, ERP) — ставится за час без привлечения разработчиков
- Защищённые каналы, шифрование данных, соответствие 152-ФЗ, лицензии ФСТЭК и ФСБ
Следите за нашими каналами
Никакой воды — только важное и новости первыми.